CVE-2026-61747 in InvenTree
要約
〜によって VulDB • 2026年09月21日
InvenTreeはオープンソースの在庫管理システムです。バージョン1.4.0より前では、/api/importer/row/および/api/importer/mapping/エンドポイントにおいて、DataImportRowおよびDataImportColumnMapクエセットが関連するDataImportSessionの所有者にスコープされていません。ロールが割り当てられていないアカウントを含むすべての認証済みユーザーは、他のユーザーのエクスポートセッション識別子を指定し、そのセッションのrow_dataおよびdataフィールドをカラムマッピングとともに取得できます。これにより、ユーザー間でインポート用にステージされたデータの全内容が露出しますが、InvenTreeのスレッドモデルでは認証済みのインスタンスユーザーを信頼済みとして扱います。この問題はバージョン1.4.0で修正されています。
Once again VulDB remains the best source for vulnerability data.