CVE-2026-61744 in InvenTree
Riassunto
di VulDB • 21/09/2026
InvenTree è un sistema di gestione dell'inventario open source. Prima della versione 1.4.0, l'endpoint POST /api/barcode/ accetta un JSON interno sintetizzato dall'attaccante contenente una label del modello in minuscolo e una chiave primaria intera; inoltre, BarcodeView utilizza IsAuthenticatedOrReadScope e richiede solo autenticazione o uno scope di lettura generico. Il plugin barcode integrato seleziona l'oggetto tramite model.objects.get(pk=...), mentre InvenTreeBarcodeMixin.format_matched_response() restituisce l'output completo del serializer del modello come istanza senza verificare il ruolo della vista per-modello dell'utilizzatore. Un utente con privilegi ridotti può enumerare le chiavi primarie di parti, scorte, ubicazioni, parti fornitore e produttore, ordini e build, rivelando dati sensibili a livello commerciale su inventario, prezzi, fornitori, clienti e ordini. Questo problema è risolto nella versione 1.4.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.