CVE-2026-61744 in InvenTree
요약
\~에 의해 VulDB • 2026. 09. 21.
InvenTree는 오픈 소스 재고 관리 시스템입니다. 버전 1.4.0 이전의 InvenTree에서 POST /api/barcode/ 엔드포인트는 소문자 모델 레이블과 정수 기본 키를 포함하는 공격자가 생성한 내부 JSON 바코드를 허용하며, BarcodeView는 IsAuthenticatedOrReadScope를 사용하여 인증 또는 일반 읽기 스코프만 요구합니다. 내장된 바코드 플러그인은 model.objects.get(pk=...)로 객체를 선택하고, InvenTreeBarcodeMixin.format_matched_response()는 호출자의 모델별 뷰 역할을 확인하지 않고 전체 모델 직렬화 출력을 인스턴스로 반환합니다. 낮은 권한을 가진 사용자는 부품, 재고, 위치, 공급업체 및 제조사 부품, 주문 및 빌드의 기본 키를 열거하여 상업적으로 민감한 재고, 가격, 공급자, 고객 및 주문 데이터를 유출할 수 있습니다. 이 문제는 버전 1.4.0에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.