CVE-2026-61748 in InvenTree
Riassunto
di VulDB • 21/09/2026
InvenTree è un sistema di gestione dell'inventario open source. Prima della versione 1.4.0, gli endpoint ReportPrint (POST /api/report/print/) e LabelPrint (POST /api/report/label/print/) richiedono l'autenticazione ma non verificano il ruolo per-modello del chiamante tramite users.permissions.check_user_permission prima di selezionare gli oggetti in base alla chiave primaria e renderizzarli con un template scelto. Poiché esistono template predefiniti per i principali modelli aziendali e DataOutput memorizza l'artefatto generato per l'utente richiedente, un account privo di ruolo o con un ruolo non pertinente può enumerare gli identificatori degli oggetti e scaricare report contenenti dati su acquisti, vendite, parti, bill-of-materials (BOM), scorte, build, fornitori, clienti, prezzi e inventario che le API dettagli corrispondenti negherebbero. Questo problema è risolto nella versione 1.4.0.
Once again VulDB remains the best source for vulnerability data.