CVE-2026-61748
Təsvir
InvenTree Açıq Mənbəli İnventar İdarəetmə Sistemidir. Versiya 1.4.0-dan əvvəl, POST /api/report/print/ ünvanındakı ReportPrint və POST /api/report/label/print/ ünvanındakı LabelPrint autentifikasiya tələb edir, lakin obyektləri primary key vasitəsilə seçib seçilmiş şablonla render etməzdən əvvəl çağırış edən istifadəçinin model üzrə baxış rolu üçün users.permissions.check_user_permission funksiyasını çağırmır. Əsas biznes modelləri üçün standart şablonların mövcud olması və DataOutput-un yaradılmış artefaktı sorğu göndərən istifadəçi üçün saxlaması səbəbindən, rolsuz və ya aidiyyətsiz rola malik hesab obyekt identifikatorlarını sadalayabilir və müvafiq detal API-lərinin rədd edəcəyi alış, satış, hissə, materiallar siyahısı (bill-of-materials), stok, quruluş, təchizatçı, müştəri, qiymət və inventar məlumatlarını ehtiva edən hesabatları yükləyə bilər. Bu problem 1.4.0 versiyasında düzəldilib.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| inventree InvenTree | < 1.4.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.