CVE-2026-61744 in InvenTree
Tóm tắt
Bởi VulDB • 21/09/2026
InvenTree là một hệ thống quản lý kho hàng mã nguồn mở. Trước phiên bản 1.4.0, điểm cuối POST /api/barcode/ chấp nhận một nhãn barcode JSON nội bộ do kẻ tấn công tạo ra chứa nhãn model chữ thường và khóa chính (primary key) nguyên; trong khi đó, BarcodeView sử dụng IsAuthenticatedOrReadScope và chỉ yêu cầu xác thực hoặc phạm vi đọc chung. Plugin barcode tích hợp chọn đối tượng bằng cách gọi `model.objects.get(pk=...)`, và phương thức `InvenTreeBarcodeMixin.format_matched_response()` trả về kết quả serializer model đầy đủ dưới dạng instance mà không kiểm tra vai trò view theo model của người gọi. Người dùng có đặc quyền thấp có thể liệt kê các khóa chính cho các bộ phận (parts), hàng tồn kho, vị trí, bộ phận nhà cung cấp và sản xuất, đơn đặt hàng và bản dựng để tiết lộ dữ liệu nhạy cảm về thương mại như thông tin kho hàng, giá cả, nhà cung cấp, khách hàng và đơn đặt hàng. Vấn đề này đã được sửa chữa trong phiên bản 1.4.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.