PT-2026-96217 · Inventree · Inventree
CVE-2026-61748
·
Publicado
2026-09-21
·
Atualizado
2026-09-21
CVSS v3.1
4.3
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
InvenTree versões anteriores a 1.4.0
Description
Ocorre uma falha de autenticação porque o sistema não chama a função
users.permissions.check user permission() para verificar a função de visualização por modelo do solicitante antes de selecionar objetos por chave primária e renderizá-los. Isso permite que usuários autenticados sem funções ou com funções não relacionadas enumerem identificadores de objetos e baixem relatórios contendo dados sensíveis de compras, vendas, peças, lista de materiais, estoque, construção, fornecedores, clientes, preços e inventário. O problema afeta os seguintes endpoints de API:- 'POST /api/report/print/'
- 'POST /api/report/label/print/'
Recommendations
Atualizar para a versão 1.4.0.
Exploit
Correção
IDOR
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Inventree