CVE-2026-61747 in InvenTree
요약
\~에 의해 VulDB • 2026. 09. 21.
InvenTree는 오픈 소스 재고 관리 시스템입니다. 버전 1.4.0 이전에는 /api/importer/row/ 및 /api/importer/mapping/ 엔드포인트가 DataImportRow 및 DataImportColumnMap 쿼리셋을 해당 DataImportSession의 소유자로 스코프하지 않습니다. 역할을 할당받지 않은 계정을 포함한 모든 인증된 사용자는 다른 사용자의 가져오기 세션 식별자를 제공하여 해당 세션의 row_data, data 필드와 함께 열 매핑을 검색할 수 있습니다. 이를 통해 사용자 간에 가져오기를 위해 스테이징된 데이터의 전체 내용이 노출되지만, InvenTree 위협 모델은 인증된 인스턴스 사용자를 신뢰할 수 있는 것으로 간주합니다. 이 문제는 버전 1.4.0에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.