CVE-2026-39362
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
InvenTree przed wersjami 1.2.7 i 1.3.0 umożliwia uwierzytelnionym użytkownikom pobieranie plików z dowolnych URL-i (remote_image) bez walidacji adresów IP wewnętrznych. Atakujący może wykorzystać to do skanowania sieci wewnętrznej lub ataków SSRF.
Ocena ryzyka
Ryzyko obejmuje dostęp do wewnętrznych zasobów sieciowych oraz potencjalne ataki typu Server-Side Request Forgery (SSRF).
Rekomendacja
Należy zaktualizować InvenTree do wersji 1.2.7 lub 1.3.0.
Inne podatności w InvenTree
Zobacz wszystkie- CVE-2026-35479Średnie
W InvenTree przed wersjami 1.2.7 i 1.3.0 użytkownicy z uprawnieniami personelu (staff) mogą instalować wtyczki przez API, bez konieczności posiadania konta superużytkownika. Jest to niezgodne z innymi działaniami na wtyczkach (np. odinstalowywaniem), które wymagają dostępu superużytkownika.
- CVE-2026-35478Wysokie
Podatność w InvenTree (system zarządzania zapasami) od wersji 0.16.0 do 1.2.7. Każdy uwierzytelniony użytkownik może utworzyć ważny token API dla dowolnego innego użytkownika, w tym administratora, poprzez podanie jego ID w żądaniu POST /api/user/tokens/. Token jest natychmiast użyteczny do pełnej autoryzacji API.
- CVE-2026-35477Średnie
InvenTree od wersji 1.2.3 do 1.2.6 zawiera podatność na zdalne wykonanie kodu. Mimo że walidator szablonów używa piaskownicy, renderer w part/helpers.py nadal używa niesandboxowanego środowiska, co pozwala użytkownikowi z uprawnieniami personelu na wykonanie dowolnego kodu.
- CVE-2026-35476Wysokie
InvenTree to system zarządzania zapasami open source. Przed wersjami 1.2.7 i 1.3.0 uwierzytelniony użytkownik niebędący personelem może podnieść swoje konto do poziomu personelu za pomocą żądania POST do punktu końcowego swojego konta użytkownika. Uprawnienia do zapisu w punkcie końcowym API są nieprawidłowo skonfigurowane, umożliwiając każdemu użytkownikowi zmianę swojego statusu personelu. Podatność została naprawiona w wersjach 1.2.7 i 1.3.0.
Oryginalny opis (angielski, źródło NVD)
InvenTree is an Open Source Inventory Management System. Prior to 1.2.7 and 1.3.0, when INVENTREE_DOWNLOAD_FROM_URL is enabled (opt-in), authenticated users can supply remote_image URLs that are fetched server-side via requests.get() with only Django's URLValidator check. There is no validation against private IP ranges or internal hostnames. Redirects are followed (allow_redirects=True), enabling bypass of any URL-format checks. This vulnerability is fixed in 1.2.7 and 1.3.0.