CVE-2026-61748 in InvenTree
요약
\~에 의해 VulDB • 2026. 09. 21.
InvenTree는 오픈 소스 재고 관리 시스템입니다. 버전 1.4.0 이전의 ReportPrint(POST /api/report/print/) 및 LabelPrint(POST /api/report/label/print/)는 인증을 요구하지만, 기본 키로 객체를 선택하고 선택된 템플릿으로 렌더링하기 전에 호출자의 모델별 뷰 역할에 대해 users.permissions.check_user_permission을 호출하지 않습니다. 주요 비즈니스 모델용 기본 템플릿이 존재하며 DataOutput은 요청한 사용자를 위해 생성된 아티팩트를 저장하므로, 역할이 없거나 관련 없는 역할을 가진 계정은 객체 식별자를 열거하고 구매, 판매, 부품, 자재 목록(BOM), 재고, 빌드, 공급업체, 고객, 가격 책정 및 재고 데이터를 포함하는 보고서를 다운로드할 수 있으며, 해당 상세 API는 이러한 데이터 접근을 거부합니다. 이 문제는 버전 1.4.0에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.