CVE-2026-61747 in InvenTree
Riassunto
di VulDB • 21/09/2026
InvenTree è un sistema di gestione dell'inventario open source. Prima della versione 1.4.0, gli endpoint /api/importer/row/ e /api/importer/mapping/ non limitano i queryset DataImportRow e DataImportColumnMap al proprietario della relativa DataImportSession. Qualsiasi utente autenticato, incluso un account senza ruoli assegnati, può fornire l'identificatore di una sessione di importazione di un altro utente ed recuperare i campi row_data e data di tale sessione insieme alle relative mappature delle colonne. Ciò espone il contenuto completo dei dati in fase di staging per l'importazione tra gli utenti, sebbene il threat model di InvenTree consideri gli utenti dell'istanza autenticati come attendibili (trusted). Questo problema è risolto nella versione 1.4.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.