CVE-2026-61744
Açıklama
InvenTree, Açık Kaynaklı bir Envanter Yönetim Sistemidir. 1.4.0 sürümünden önce, POST /api/barcode/ uç noktası; küçük harfli bir model etiketi ve tamsayı bir birincil anahtar içeren, saldırgan tarafından sentezlenmiş dahili bir JSON barkodunu kabul ederken, BarcodeView ise IsAuthenticatedOrReadScope kullanır ve yalnızca kimlik doğrulaması veya genel bir okuma kapsamı gerektirir. Yerleşik barkod eklentisi, nesneyi model.objects.get(pk=...) ile seçer ve InvenTreeBarcodeMixin.format_matched_response(), çağıran kişinin modele özel görünüm rolünü kontrol etmeden tam model serileştirici çıktısını örnek olarak döndürür. Düşük yetkili bir kullanıcı; parçalar, stoklar, konumlar, tedarikçi ve üretici parçaları, siparişler ve üretimler için birincil anahtarları numaralandırarak ticari açıdan hassas envanter, fiyatlandırma, tedarikçi, müşteri ve sipariş verilerini ifşa edebilir. Bu sorun 1.4.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| inventree InvenTree | < 1.4.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.