PT-2026-28488
CVE-2026-33530
·
تاريخ النشر
2026-03-26
·
تاريخ التحديث
2026-10-07
الوصف من
CVSS 3.1
7.7
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات InvenTree السابقة للإصدار 1.2.6
إصدارات InvenTree من 1.2.6 إلى 1.3.0
الوصف
InvenTree هو نظام مفتوح المصدر لإدارة المخزون. يمكن استغلال بعض نقاط نهاية واجهة برمجة التطبيقات (API) المرتبطة بعمليات البيانات المجمعة لسرقة معلومات حساسة من قاعدة البيانات. تقبل نقاط نهاية واجهة برمجة التطبيقات (API) الخاصة بالعمليات المجمعة، بما في ذلك
/api/part/ و/api/stock/ و/api/order/so/allocation/ وغيرها، معلمة filters. يتم تمرير هذه المعلمة مباشرةً إلى ORM الخاص بـ Django queryset.filter(**filters) دون أي قائمة مسموح بها للحقول. وهذا يسمح للمستخدمين المصادق عليهم بالتنقل عبر علاقات النماذج باستخدام صيغة البحث في Django وإجراء استخراج بيانات أعمى قائم على القيم المنطقية. وتعد المعلمة filters المكون الرئيسي في هذه المشكلة.التوصيات
تحديث InvenTree إلى الإصدار 1.2.6 أو أحدث.
تحديث InvenTree إلى الإصدار 1.3.0 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾