CVE-2026-35478
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Podatność w InvenTree (system zarządzania zapasami) od wersji 0.16.0 do 1.2.7. Każdy uwierzytelniony użytkownik może utworzyć ważny token API dla dowolnego innego użytkownika, w tym administratora, poprzez podanie jego ID w żądaniu POST /api/user/tokens/. Token jest natychmiast użyteczny do pełnej autoryzacji API.
Ocena ryzyka
Atakujący może przejąć konto dowolnego użytkownika, w tym administratora, uzyskując pełny dostęp do systemu i danych.
Rekomendacja
Zaktualizuj InvenTree do wersji 1.2.7 lub 1.3.0.
Inne podatności w InvenTree
Zobacz wszystkie- CVE-2026-39362Wysokie
InvenTree przed wersjami 1.2.7 i 1.3.0 umożliwia uwierzytelnionym użytkownikom pobieranie plików z dowolnych URL-i (remote_image) bez walidacji adresów IP wewnętrznych. Atakujący może wykorzystać to do skanowania sieci wewnętrznej lub ataków SSRF.
- CVE-2026-35479Średnie
W InvenTree przed wersjami 1.2.7 i 1.3.0 użytkownicy z uprawnieniami personelu (staff) mogą instalować wtyczki przez API, bez konieczności posiadania konta superużytkownika. Jest to niezgodne z innymi działaniami na wtyczkach (np. odinstalowywaniem), które wymagają dostępu superużytkownika.
- CVE-2026-35477Średnie
InvenTree od wersji 1.2.3 do 1.2.6 zawiera podatność na zdalne wykonanie kodu. Mimo że walidator szablonów używa piaskownicy, renderer w part/helpers.py nadal używa niesandboxowanego środowiska, co pozwala użytkownikowi z uprawnieniami personelu na wykonanie dowolnego kodu.
- CVE-2026-35476Wysokie
InvenTree to system zarządzania zapasami open source. Przed wersjami 1.2.7 i 1.3.0 uwierzytelniony użytkownik niebędący personelem może podnieść swoje konto do poziomu personelu za pomocą żądania POST do punktu końcowego swojego konta użytkownika. Uprawnienia do zapisu w punkcie końcowym API są nieprawidłowo skonfigurowane, umożliwiając każdemu użytkownikowi zmianę swojego statusu personelu. Podatność została naprawiona w wersjach 1.2.7 i 1.3.0.
Oryginalny opis (angielski, źródło NVD)
InvenTree is an Open Source Inventory Management System. From 0.16.0 to before 1.2.7, any authenticated InvenTree user can create a valid API token attributed to any other user in the system — including administrators and superusers — by supplying the target's user ID in the user field of a POST /api/user/tokens/ request. The returned token is immediately usable for full API authentication as the target user, from any network location, with no further interaction required. This vulnerability is fixed in 1.2.7 and 1.3.0.