Plattform
php
Komponente
inventree
Behoben in
1.2.8
CVE-2026-35476 describes a Privilege Escalation vulnerability discovered in InvenTree, an open-source inventory management system. This flaw allows a non-staff user, after authentication, to elevate their account privileges to a staff level, granting them broader access and control within the system. The vulnerability impacts versions 1.2.0 through 1.2.6 and is resolved in versions 1.2.7 and 1.3.0.
Die CVE-2026-35476-Schwachstelle in InvenTree ermöglicht einem authentifizierten, nicht-administrierenden Benutzer, sein Konto auf Personalstufe zu erhöhen. Dies liegt an falsch konfigurierten Schreibberechtigungen für den API-Endpunkt des Benutzerkontos. Ein Angreifer kann eine POST-Anfrage an diesen Endpunkt senden, um seinen eigenen Personalstatus zu ändern und so Zugriff auf Funktionen und Daten zu erhalten, die ihm normalerweise nicht zur Verfügung stehen. Der potenzielle Schaden umfasst die Manipulation von Bestandsdaten, die Erstellung betrügerischer Benutzerkonten und den unbefugten Zugriff auf sensible Informationen. Die Schwere dieser Schwachstelle wird gemäß CVSS mit 7.2 bewertet.
Diese Schwachstelle ist für jeden authentifizierten Benutzer in InvenTree ausnutzbar, der keine Personalberechtigungen besitzt. Sie erfordert keine fortgeschrittenen technischen Fähigkeiten, da sie mit einer einfachen POST-Anfrage ausgenutzt werden kann. Die einfache Ausnutzbarkeit und der potenzielle Schaden für die Integrität und Vertraulichkeit von Bestandsdaten machen dies zu einem erheblichen Problem. Penetrationstests werden empfohlen, um potenzielle Risiken zu identifizieren und zu mindern.
Organizations using InvenTree for inventory management, particularly those with multiple users and varying permission levels, are at risk. Environments with weak password policies or shared user accounts are especially vulnerable. Users relying on InvenTree's access controls for sensitive inventory data are also at increased risk.
• php: Examine InvenTree's API endpoint logs for suspicious POST requests targeting user account modification. Look for requests originating from non-staff users attempting to change their 'staff' status.
grep 'user_id=[0-9]+&staff=true' /path/to/invenTree/api.log• generic web: Monitor access logs for unusual activity related to user account management endpoints.
curl -I http://your-invenTree-instance/api/users/{user_id}/ | grep -i staffdisclosure
Exploit-Status
EPSS
0.04% (11% Perzentil)
CISA SSVC
CVSS-Vektor
Die Behebung dieser Schwachstelle besteht darin, InvenTree auf Version 1.2.7 oder höher oder auf Version 1.3.0 zu aktualisieren. Diese Versionen enthalten eine Korrektur, die die Schreibberechtigungen für den API-Endpunkt des Benutzerkontos ordnungsgemäß einschränkt und so eine Eskalation von Berechtigungen verhindert. Wenn ein sofortiges Update nicht möglich ist, sollten Sie zusätzliche Sicherheitsmaßnahmen ergreifen, wie z. B. regelmäßige Überprüfungen von Benutzerkonten und Beschränkungen des API-Zugriffs. Die Überwachung der Systemprotokolle auf verdächtige Aktivitäten kann ebenfalls dazu beitragen, potenzielle Angriffe zu erkennen und darauf zu reagieren.
Actualice InvenTree a la versión 1.2.7 o superior para corregir la vulnerabilidad de escalada de privilegios. La actualización corrige la configuración incorrecta de los permisos de escritura en el API, evitando que usuarios no autorizados cambien su estado de personal.
Schwachstellenanalysen und kritische Warnungen direkt in deinen Posteingang.
Es ist eine eindeutige Kennung für diese spezifische Schwachstelle in InvenTree. Sie ermöglicht es Forschern und Systemadministratoren, die Behebung der Schwachstelle zu verfolgen und zu verwalten.
Implementieren Sie zusätzliche Sicherheitsmaßnahmen, wie z. B. regelmäßige Überprüfungen von Benutzerkonten und Beschränkungen des API-Zugriffs. Überwachen Sie die Systemprotokolle auf verdächtige Aktivitäten.
Überprüfen Sie die Version von InvenTree, die Sie verwenden. Wenn sie vor 1.2.7 oder 1.3.0 liegt, ist sie anfällig.
Derzeit gibt es keine spezifischen Tools, um diese Schwachstelle zu erkennen. Der beste Weg ist, die InvenTree-Version zu überprüfen.
Alle Daten, die in InvenTree gespeichert sind, einschließlich Produktbeschreibungen, Mengen, Standorten, Kosten und Lieferanten, könnten kompromittiert werden, wenn ein Angreifer Personalberechtigungen erhält.
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.