| タイトル | inventree projectのinventreeにおける認可に関する脆弱性 |
|---|---|
| 概要 | InvenTreeはオープンソースの在庫管理システムです。バージョン1.2.7および1.3.0より前のバージョンでは、スタッフアクセス権を持つ任意のユーザーが「スーパーユーザー」アカウントのアクセス権を必要とせずにAPI経由でプラグインをインストールできました。この権限要件のレベルは、アンインストールなど他のプラグイン操作（スーパーユーザーアクセスが必要）と整合していません。この脆弱性により、スタッフユーザー（スーパーユーザーアカウントよりも信頼レベルが低いと見なされることがあります）が任意の（潜在的に有害な）プラグインをインストールする可能性があります。この脆弱性はバージョン1.2.7および1.3.0で修正されました。 |
| 想定される影響 | 当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアの一部が停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| 対策 | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年4月8日0:00 |
| 登録日 | 2026年4月23日10:12 |
| 最終更新日 | 2026年4月23日10:12 |
| CVSS3.0 : 警告 | |
| スコア | 4.7 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:L |
| inventree project |
| inventree 1.2.7 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年04月23日] 掲載 |
2026年4月23日10:12 |
| 概要 | InvenTree is an Open Source Inventory Management System. Prior to 1.2.7 and 1.3.0, any users who have staff access permissions can install plugins via the API, without requiring "superuser" account access. This level of permission requirement is out of alignment with other plugin actions (such as uninstalling) which do require superuser access. The vulnerability allows staff users (who may be considered to have a lower level of trust than a superuser account) to install arbitrary (and potentially harmful) plugins. This vulnerability is fixed in 1.2.7 and 1.3.0. |
|---|---|
| 公表日 | 2026年4月9日5:16 |
| 登録日 | 2026年4月15日11:32 |
| 最終更新日 | 2026年4月21日22:35 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:inventree_project:inventree:*:*:*:*:*:*:*:* | 1.2.7 | ||||