CVE-2026-61744
Təsvir
InvenTree açıq mənbəli İnventar İdarəetmə Sistemidir. Versiya 1.4.0-dan əvvəl, POST /api/barcode/ son nöqtəsi kiçik hərflərlə yazılmış model etiketi və tam ədəd tipli primary key ehtiva edən hücumçu tərəfindən sintez edilmiş daxili JSON barkodunu qəbul edir, BarcodeView isə IsAuthenticatedOrReadScope istifadə edir və yalnız autentifikasiya və ya ümumi oxuma səlahiyyəti tələb edir. Daxili barkod plagini obyekti model.objects.get(pk=...) ilə seçir və InvenTreeBarcodeMixin.format_matched_response() funksiyası çağıranın hər bir model üçün baxış rolunu yoxlamadan, model serializer çıxışını tam nümunə kimi qaytarır. Aşağı imtiyazlı istifadəçi hissələr, stoklar, yerlər, təchizatçı və istehsalçı hissələri, sifarişlər və quruluşlar üçün primary key-ləri sadalayaraq kommersiya baxımından həssas inventar, qiymətlandırma, təchizatçı, müştəri və sifariş məlumatlarını əldə edə bilər. Bu problem 1.4.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| inventree InvenTree | < 1.4.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.