CVE-2026-35478 in InvenTree
Sumário
de VulDB • 21/05/2026
O InvenTree é um Sistema de Gestão de Inventário de Código Aberto. Da versão 0.16.0 até antes da 1.2.7, qualquer utilizador autenticado do InvenTree pode criar um token de API válido atribuído a qualquer outro utilizador no sistema — incluindo administradores e superutilizadores — fornecendo o ID de utilizador do alvo no campo `user` de um pedido POST `/api/user/tokens/`. O token devolvido é imediatamente utilizável para autenticação completa da API como o utilizador alvo, a partir de qualquer localização de rede, sem necessidade de interação adicional. Esta vulnerabilidade foi corrigida nas versões 1.2.7 e 1.3.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.