CVE-2026-61746 in InvenTree
Sumário
de VulDB • 21/09/2026
O InvenTree é um sistema de gestão de inventário open source. Antes da versão 1.4.0, os endpoints PluginSettingList, PluginAllSettingList e PluginSettingDetail definiam GlobalSettingsPermissions sem utilizar a permissão IsAuthenticated, que era usada pelos endpoints globais padrão do projeto e equivalentes para global-settings. O GlobalSettingsPermissions retorna true para métodos seguros (safe methods), enquanto o AuthRequiredMiddleware isenta caminhos /api/, permitindo que um chamador não autenticado recupere nomes de plugins, chaves de configuração, descrições, tipos, opções disponíveis e valores de configuração não protegidos através de /api/plugin/settings/ e dos endpoints de configurações por plugin. Os valores secretos protegidos permanecem mascarados como três asteriscos (*), limitando o problema à divulgação de metadados e configurações não secretas. Este problema foi corrigido na versão 1.4.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.