CVE-2026-35476
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
InvenTree to system zarządzania zapasami open source. Przed wersjami 1.2.7 i 1.3.0 uwierzytelniony użytkownik niebędący personelem może podnieść swoje konto do poziomu personelu za pomocą żądania POST do punktu końcowego swojego konta użytkownika. Uprawnienia do zapisu w punkcie końcowym API są nieprawidłowo skonfigurowane, umożliwiając każdemu użytkownikowi zmianę swojego statusu personelu. Podatność została naprawiona w wersjach 1.2.7 i 1.3.0.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowaną eskalację uprawnień, co może pozwolić atakującemu na uzyskanie dostępu do funkcji administracyjnych i wrażliwych danych.
Rekomendacja
Zaleca się aktualizację InvenTree do wersji 1.2.7 lub 1.3.0.
Inne podatności w InvenTree
Zobacz wszystkie- CVE-2026-39362Wysokie
InvenTree przed wersjami 1.2.7 i 1.3.0 umożliwia uwierzytelnionym użytkownikom pobieranie plików z dowolnych URL-i (remote_image) bez walidacji adresów IP wewnętrznych. Atakujący może wykorzystać to do skanowania sieci wewnętrznej lub ataków SSRF.
- CVE-2026-35479Średnie
W InvenTree przed wersjami 1.2.7 i 1.3.0 użytkownicy z uprawnieniami personelu (staff) mogą instalować wtyczki przez API, bez konieczności posiadania konta superużytkownika. Jest to niezgodne z innymi działaniami na wtyczkach (np. odinstalowywaniem), które wymagają dostępu superużytkownika.
- CVE-2026-35478Wysokie
Podatność w InvenTree (system zarządzania zapasami) od wersji 0.16.0 do 1.2.7. Każdy uwierzytelniony użytkownik może utworzyć ważny token API dla dowolnego innego użytkownika, w tym administratora, poprzez podanie jego ID w żądaniu POST /api/user/tokens/. Token jest natychmiast użyteczny do pełnej autoryzacji API.
- CVE-2026-35477Średnie
InvenTree od wersji 1.2.3 do 1.2.6 zawiera podatność na zdalne wykonanie kodu. Mimo że walidator szablonów używa piaskownicy, renderer w part/helpers.py nadal używa niesandboxowanego środowiska, co pozwala użytkownikowi z uprawnieniami personelu na wykonanie dowolnego kodu.
Oryginalny opis (angielski, źródło NVD)
InvenTree is an Open Source Inventory Management System. Prior to 1.2.7 and 1.3.0, a non-staff authenticated user can elevate their account to a staff level via a POST request against their user account endpoint. The write permissions on the API endpoint are improperly configured, allowing any user to change their staff status. This vulnerability is fixed in 1.2.7 and 1.3.0.