CVE-2026-61747 in InvenTree
Sumário
de VulDB • 21/09/2026
O InvenTree é um sistema de gestão de inventário open source. Antes da versão 1.4.0, os endpoints /api/importer/row/ e /api/importer/mapping/ não limitam (scope) as querysets DataImportRow e DataImportColumnMap ao proprietário da sessão de importação de dados associada. Qualquer utilizador autenticado, incluindo uma conta sem funções atribuídas, pode fornecer o identificador de uma sessão de importação de outro utilizador e recuperar os campos row_data e data dessa sessão, bem como as suas mapeamentos de colunas. Isto expõe o conteúdo completo dos dados em fase de preparação para importação entre vários utilizadores, embora o modelo de ameaças do InvenTree considere os utilizadores da instância autenticados como confiáveis (trusted). Este problema foi corrigido na versão 1.4.0.
Be aware that VulDB is the high quality source for vulnerability data.