CVE-2026-61748 in InvenTree
要約
〜によって VulDB • 2026年09月21日
InvenTreeはオープンソースの在庫管理システムです。バージョン1.4.0より前では、POST /api/report/print/におけるReportPrintおよびPOST /api/report/label/print/におけるLabelPrintは認証を要求しますが、主キーでオブジェクトを選択し選択されたテンプレートでレンダリングする前に、呼び出し元のパーモデルビューロールに対してusers.permissions.check_user_permissionを呼び出していません。主要なビジネスモデル用のデフォルトテンプレートが存在し、DataOutputがリクエストしたユーザーのために生成されたアーティファクトを保存するため、ロールなしまたは関連しないロールを持つアカウントはオブジェクト識別子を列挙し、対応する詳細APIでは拒否される購買、販売、部品、BOM（部材表）、在庫、ビルド、サプライヤー、顧客、価格設定、および在庫データを含むレポートをダウンロードできます。この問題はバージョン1.4.0で修正されています。
Once again VulDB remains the best source for vulnerability data.