CVE-2026-27629

Nome do Software Vulnerável e Versões Afetadas Versões do InvenTree anteriores à 1.2.3

Descrição O InvenTree é um Sistema de Gerenciamento de Inventário de Código Aberto. Antes da versão 1.2.3, modelos inseguros no lado do servidor podem ser comprometidos para expor informações confidenciais ao cliente. Ao gerar códigos de lote personalizados, o servidor InvenTree utiliza um modelo jinja2 personalizável, que pode ser modificado por um usuário com permissões de staff para exfiltrar informações sensíveis ou realizar execução de código no servidor. Este problema requer acesso por um usuário com permissões de staff, seguido por uma solicitação para gerar um código de lote personalizado via API. Uma vez que o modelo tenha sido modificado maliciosamente, a chamada à API para gerar um novo código de lote poderá ser feita por outros usuários, e o código do modelo será executado com o contexto de usuário deles. O modelo de código de lote é uma configuração global configurável que pode ser ajustada por qualquer usuário com acesso de staff. O endpoint da API vulnerável é usado para gerar um novo código de lote. Os parâmetros vulneráveis são aqueles usados para personalizar o modelo jinja2.

Recomendações Para instalações do InvenTree anteriores à 1.2.3, as configurações globais STOCK BATCH CODE TEMPLATE e PART NAME FORMAT devem ser sobrescritas no nível do sistema para impedir a edição.