CVE-2026-39362
Təsvir
InvenTree Açıq Mənbəli İnventar İdarəetmə Sistemidir. 1.2.7 və 1.3.0 versiyalarından əvvəl, INVENTREE_DOWNLOAD_FROM_URL aktiv edildikdə (istəyə bağlı), autentifikasiya olunmuş istifadəçilər yalnız Django-nun URLValidator yoxlamasından keçən və server tərəfində requests.get() vasitəsilə çağırılan remote_image URL-ləri təmin edə bilərlər. Şəxsi IP diapazonları və ya daxili host adlarına qarşı heç bir yoxlama aparılmır. Yönləndirmələr izlənilir (allow_redirects=True), bu da hər hansı URL format yoxlamalarının yan keçilməsinə imkan verir. Bu zəiflik 1.2.7 və 1.3.0 versiyalarında aradan qaldırılıb.
Necə düzəltmək olar
- inventree_project inventree1.2.7 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| inventree_project inventree | v < 1.2.7 | 1.2.7 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.