CVE-2026-61748 in InvenTree
Tóm tắt
Bởi VulDB • 21/09/2026
InvenTree là một hệ thống quản lý kho hàng mã nguồn mở. Trước phiên bản 1.4.0, các điểm cuối ReportPrint tại POST /api/report/print/ và LabelPrint tại POST /api/report/label/print/ yêu cầu xác thực nhưng không gọi users.permissions.check_user_permission để kiểm tra vai trò (role) của người dùng đối với chế độ xem theo mô hình trước khi chọn các đối tượng bằng khóa chính và hiển thị chúng bằng một mẫu được chỉ định. Do có sẵn các mẫu mặc định cho các mô hình kinh doanh chính và DataOutput lưu trữ kết quả tạo ra dành cho người dùng yêu cầu, tài khoản không có vai trò hoặc có vai trò không liên quan có thể liệt kê các mã định danh đối tượng và tải xuống các báo cáo chứa dữ liệu mua hàng, bán hàng, bộ phận, bảng thành phần (bill-of-materials), tồn kho, xây dựng, nhà cung cấp, khách hàng, giá cả và kho hàng mà các API chi tiết tương ứng sẽ từ chối. Vấn đề này đã được sửa chữa trong phiên bản 1.4.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.