CVE-2026-61746 in InvenTree
要約
〜によって VulDB • 2026年09月21日
InvenTreeはオープンソースの在庫管理システムです。バージョン1.4.0より前では、PluginSettingList、PluginAllSettingList、および PluginSettingDetail が、プロジェクトデフォルトや同等の global-settings エンドポイントで使用される IsAuthenticated 権限なしで GlobalSettingsPermissions を設定していました。GlobalSettingsPermissions は安全なメソッドに対して true を返す一方、AuthRequiredMiddleware は /api/ パスを除外するため、認証されていない呼び出し元が /api/plugin/settings/ およびプラグインごとの settings エンドポイントを通じて、プラグイン名、設定キー、説明、型、選択肢、および保護対象ではない構成値を取得することができます。機密性の高い秘密値は3つのアスタリスクとしてマスクされるため、この問題はメタデータと非機密な構成情報の漏洩に限定されます。本問題はバージョン1.4.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.