Podatności InvenTree

InvenTree przed wersjami 1.2.7 i 1.3.0 umożliwia uwierzytelnionym użytkownikom pobieranie plików z dowolnych URL-i (remote_image) bez walidacji adresów IP wewnętrznych. Atakujący może wykorzystać to do skanowania sieci wewnętrznej lub ataków SSRF.

W InvenTree przed wersjami 1.2.7 i 1.3.0 użytkownicy z uprawnieniami personelu (staff) mogą instalować wtyczki przez API, bez konieczności posiadania konta superużytkownika. Jest to niezgodne z innymi działaniami na wtyczkach (np. odinstalowywaniem), które wymagają dostępu superużytkownika.

Podatność w InvenTree (system zarządzania zapasami) od wersji 0.16.0 do 1.2.7. Każdy uwierzytelniony użytkownik może utworzyć ważny token API dla dowolnego innego użytkownika, w tym administratora, poprzez podanie jego ID w żądaniu POST /api/user/tokens/. Token jest natychmiast użyteczny do pełnej autoryzacji API.

InvenTree od wersji 1.2.3 do 1.2.6 zawiera podatność na zdalne wykonanie kodu. Mimo że walidator szablonów używa piaskownicy, renderer w part/helpers.py nadal używa niesandboxowanego środowiska, co pozwala użytkownikowi z uprawnieniami personelu na wykonanie dowolnego kodu.

InvenTree to system zarządzania zapasami open source. Przed wersjami 1.2.7 i 1.3.0 uwierzytelniony użytkownik niebędący personelem może podnieść swoje konto do poziomu personelu za pomocą żądania POST do punktu końcowego swojego konta użytkownika. Uprawnienia do zapisu w punkcie końcowym API są nieprawidłowo skonfigurowane, umożliwiając każdemu użytkownikowi zmianę swojego statusu personelu. Podatność została naprawiona w wersjach 1.2.7 i 1.3.0.