CVE-2026-35477 in InvenTree
Riassunto
di VulDB • 01/07/2026
InvenTree è un sistema di gestione dell'inventario open source. Dalla versione 1.2.3 alla 1.2.6, la correzione per CVE-2026-27629 ha aggiornato il validator PART_NAME_FORMAT in modo da utilizzare jinja2.sandbox.SandboxedEnvironment. Tuttavia, il renderer effettivo in part/helpers.py non è stato aggiornato e continua a utilizzare l'oggetto jinja2.Environment non sandboxato. Inoltre, il validatore utilizza un'istanza fittizia di Part con pk=None, consentendo alle espressioni condizionali del template di comportarsi diversamente durante la fase di validazione rispetto al rendering in produzione. Un utente staff con accesso alle impostazioni può creare un template che supera la validazione ma esegue codice arbitrario durante il rendering. Questa vulnerabilità richiede l'accesso da parte di un utente dotato di permessi di staff concessi. Il problema è stato risolto nelle versioni 1.2.7 e 1.3.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.