PT-2026-21846
CVE-2026-27629
·
تاريخ النشر
2026-02-25
·
تاريخ التحديث
2026-10-06
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات InvenTree الأقدم من 1.2.3
الوصف
InvenTree هو نظام مفتوح المصدر لإدارة المخزون. قبل الإصدار 1.2.3، يمكن استغلال نماذج غير آمنة على جانب الخادم لتسريب معلومات سرية إلى العميل. عند إنشاء رموز دفعات مخصصة، يستخدم خادم InvenTree قالب jinja2 قابل للتخصيص، والذي يمكن تعديله من قبل مستخدم يتمتع بصلاحيات الموظفين لسرقة معلومات حساسة أو تنفيذ تعليمات برمجية على الخادم. تتطلب هذه المشكلة وصول مستخدم يتمتع بصلاحيات الموظفين، يليه طلب لإنشاء رمز دفعة مخصص عبر واجهة برمجة التطبيقات (API). وبمجرد تعديل القالب بشكل خبيث، يمكن لمستخدمين آخرين إجراء استدعاء واجهة برمجة التطبيقات (API) لإنشاء رمز دفعة جديد، وسيتم تنفيذ كود القالب في سياق المستخدم الخاص بهم. ويُعد قالب رمز الدفعة إعدادًا عامًا قابلًا للتعديل يمكن لأي مستخدم يتمتع بحقوق وصول الموظفين تعديله. وتُستخدم نقطة نهاية واجهة برمجة التطبيقات (API) المعرضة للخطر لإنشاء رمز دفعة جديد. المعلمات المعرضة للخطر هي تلك المستخدمة لتخصيص قالب jinja2.
التوصيات
بالنسبة لإصدارات InvenTree الأقدم من 1.2.3، يجب استبدال الإعدادات العامة
STOCK BATCH CODE TEMPLATE وPART NAME FORMAT على مستوى النظام لمنع التعديل. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾