CVE-2026-61748 in InvenTree
Сводка
по VulDB • 21.09.2026
InvenTree — это система управления запасами с открытым исходным кодом. До версии 1.4.0 эндпоинты ReportPrint (POST /api/report/print/) и LabelPrint (POST /api/report/label/print/) требуют аутентификации, но не вызывают функцию users.permissions.check_user_permission для проверки роли вызывающего абонента в контексте конкретной модели перед выбором объектов по первичному ключу и их рендерингом с использованием выбранного шаблона. Поскольку существуют стандартные шаблоны для основных бизнес-моделей, а DataOutput сохраняет созданный артефакт для запрашивающего пользователя, учетная запись без роли или с несвязанной ролью может перечислять идентификаторы объектов и скачивать отчеты, содержащие данные о закупках, продажах, деталях (частях), спецификациях (bill-of-materials), запасах, сборке, поставщиках, клиентах, ценообразовании и инвентаре, которые были бы запрещены соответствующими детализированными API. Эта проблема исправлена в версии 1.4.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.