CVE-2026-61748 in InvenTree
Résumé
par VulDB • 21/09/2026
InvenTree est un système de gestion d'inventaire open source. Avant la version 1.4.0, les points de terminaison ReportPrint (POST /api/report/print/) et LabelPrint (POST /api/report/label/print/) nécessitent une authentification mais n'appellent pas users.permissions.check_user_permission pour vérifier le rôle lié au modèle du demandeur avant de sélectionner des objets par clé primaire et de les rendre à l'aide d'un template choisi. Étant donné que des templates par défaut existent pour les principaux modèles métier et que DataOutput stocke l'artefact généré pour l'utilisateur ayant fait la requête, un compte sans rôle ou avec un rôle non pertinent peut énumérer les identifiants d'objets et télécharger des rapports contenant des données relatives aux achats, ventes, pièces nomenclature (bill-of-materials), stocks, constructions, fournisseurs, clients, tarification et inventaire que les API de détail correspondantes auraient refusées. Ce problème est corrigé dans la version 1.4.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.