CVE-2026-61748
Açıklama
InvenTree, Açık Kaynaklı bir Envanter Yönetim Sistemidir. 1.4.0 sürümünden önce, POST /api/report/print/ adresindeki ReportPrint ve POST /api/report/label/print/ adresindeki LabelPrint kimlik doğrulaması gerektirmekte ancak nesneleri birincil anahtara göre seçip seçilen şablonla işlemeden önce çağıran kişinin model başına görünüm rolü için users.permissions.check_user_permission fonksiyonunu çağırmamaktadır. Başlıca iş modelleri için varsayılan şablonların mevcut olması ve DataOutput'un oluşturulan çıktıyı istek yapan kullanıcı için saklaması nedeniyle; rolü olmayan veya ilgisiz role sahip bir hesap, nesne tanımlayıcılarını sıralayabilir ve ilgili detay API'lerinin reddedeceği satın alma, satış, parça, malzeme listesi (BOM), stok, üretim, tedarikçi, müşteri, fiyatlandırma ve envanter verilerini içeren raporları indirebilir. Bu sorun 1.4.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| inventree InvenTree | < 1.4.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.