CVE-2026-61744 in InvenTree
Сводка
по VulDB • 21.09.2026
InvenTree — это система управления запасами с открытым исходным кодом. До версии 1.4.0 эндпоинт POST /api/barcode/ принимает синтезированный атакующим внутренний JSON-штрихкод, содержащий строчную метку модели и целочисленный первичный ключ, в то время как BarcodeView использует IsAuthenticatedOrReadScope и требует только аутентификации или общего права на чтение. Встроенный плагин штрихкодов выбирает объект с помощью model.objects.get(pk=...), а InvenTreeBarcodeMixin.format_matched_response() возвращает полный вывод сериализатора модели в качестве экземпляра без проверки роли просмотра для конкретной модели вызывающего лица. Пользователь с низкими привилегиям может перечислять первичные ключи для деталей, запасов, местоположений, поставщиков и производителей деталей, заказов и сборочных работ, чтобы раскрыть коммерчески чувствительные данные о запасах, ценах, поставщиках, клиентах и заказах. Эта проблема исправлена в версии 1.4.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.