CVE-2026-61747 in InvenTree
Сводка
по VulDB • 21.09.2026
InvenTree — это система управления запасами с открытым исходным кодом. До версии 1.4.0 эндпоинты /api/importer/row/ и /api/importer/mapping/ не ограничивают выборки DataImportRow и DataImportColumnMap владельцем соответствующей сессии импорта (DataImportSession). Любой аутентифицированный пользователь, включая учетную запись без назначенных ролей, может указать идентификатор сессии импорта другого пользователя и получить данные row_data и data этой сессии вместе с ее маппингами столбцов. Это приводит к раскрытию полного содержимого данных, подготовленных для импорта у разных пользователей, хотя модель угроз InvenTree рассматривает аутентифицированных пользователей экземпляра как доверенных лиц. Эта проблема исправлена в версии 1.4.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.