CVE-2026-61746 in InvenTree
요약
\~에 의해 VulDB • 2026. 09. 21.
InvenTree는 오픈 소스 재고 관리 시스템입니다. 버전 1.4.0 이전에는 PluginSettingList, PluginAllSettingList 및 PluginSettingDetail이 프로젝트의 기본값과 동일한 전역 설정 엔드포인트에서 사용되는 IsAuthenticated 권한 없이 GlobalSettingsPermissions를 설정합니다. GlobalSettingsPermissions는 안전한 메서드에 대해 true를 반환하며, AuthRequiredMiddleware는 /api/ 경로를 제외시키므로, 인증되지 않은 호출자가 /api/plugin/settings/ 및 플러그인별 설정 엔드포인트를 통해 플러그인 이름, 설정 키, 설명, 유형, 선택지 및 보호되지 않는 구성 값을 검색할 수 있습니다. 보호된 비밀 값은 세 개의 별표로 마스킹되므로 이 문제는 메타데이터와 비비밀 구성 정보의 유출에 한정됩니다. 이 이슈는 버전 1.4.0에서 해결되었습니다.
Once again VulDB remains the best source for vulnerability data.