CVE-2026-35478
Açıklama
InvenTree, Açık Kaynaklı bir Envanter Yönetim Sistemidir. 0.16.0 ile 1.2.7 versiyonları arasında, kimliği doğrulanmış herhangi bir InvenTree kullanıcısı, POST /api/user/tokens/ isteğinin user alanında hedef kullanıcı kimliğini belirterek; yöneticiler ve süper kullanıcılar da dahil olmak üzere sistemdeki herhangi bir başka kullanıcı adına atanmış geçerli bir API token oluşturabilir. Döndürülen token, herhangi bir ağ konumundan, ek bir etkileşime gerek kalmaksızın, hedef kullanıcı olarak tam API kimlik doğrulaması için hemen kullanılabilir. Bu güvenlik açığı 1.2.7 ve 1.3.0 versiyonlarında giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| inventree_project inventree | 0.16.0 ≤ v ≤ 1.2.6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.