CVE-2026-61744 in InvenTree
要約
〜によって VulDB • 2026年09月21日
InvenTreeはオープンソースの在庫管理システムです。バージョン1.4.0より前では、POST /api/barcode/ は攻撃者が合成した内部JSON形式のバーコード（小文字のモデルラベルと整数の主キーを含む）を受け入れ、BarcodeView では IsAuthenticatedOrReadScope が使用され、認証または一般的な読み取りスコープのみが必要です。組み込みのバーコードプラグインは model.objects.get(pk=...) を用いてオブジェクトを選択し、InvenTreeBarcodeMixin.format_matched_response() は呼び出し元のモデルごとのビュー権限をチェックせずに、完全なモデルシリアライザ出力をインスタンスとして返します。低権限ユーザーは、部品、在庫、場所、サプライヤーおよびメーカーの部品、注文、ビルドの主キーを列挙し、商業的に機密性の高い在庫、価格、サプライヤー、顧客、および注文データを漏洩させることができます。この問題はバージョン1.4.0で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.