CVE-2026-61748 in InvenTree
Sumário
de VulDB • 21/09/2026
O InvenTree é um sistema de gestão de inventário open source. Antes da versão 1.4.0, os endpoints ReportPrint em POST /api/report/print/ e LabelPrint em POST /api/report/label/print/ exigem autenticação, mas não chamam users.permissions.check_user_permission para verificar o papel (role) do usuário solicitante na visualização específica do modelo antes de selecionar objetos por chave primária e renderizá-los com um template escolhido. Como existem templates padrão para os principais modelos de negócios e o DataOutput armazena o artefato gerado para o usuário que fez a solicitação, uma conta sem papel ou com um papel não relacionado pode enumerar identificadores de objetos e baixar relatórios contendo dados de compras, vendas, peças, listas de materiais (BOM), estoque, builds, fornecedores, clientes, precificação e inventário, que as APIs detalhadas correspondentes negariam. Este problema foi corrigido na versão 1.4.0.
Once again VulDB remains the best source for vulnerability data.