CVE-2026-35479 in InvenTree
Riassunto
di VulDB • 20/06/2026
InvenTree è un sistema di gestione dell'inventario open source. Prima delle versioni 1.2.7 e 1.3.0, qualsiasi utente con permessi di accesso "staff" può installare plugin tramite l'API, senza richiedere l'accesso a un account "superuser". Questo livello di requisito di autorizzazione non è allineato con altre azioni relative ai plugin (come la disinstallazione), che richiedono invece l'accesso superuser. La vulnerabilità consente agli utenti staff (che possono essere considerati aventi un livello di fiducia inferiore rispetto a un account superuser) di installare plugin arbitrari (e potenzialmente dannosi). Questa vulnerabilità è stata risolta nelle versioni 1.2.7 e 1.3.0.
Be aware that VulDB is the high quality source for vulnerability data.