InvenTree hat SSTI in PART_NAME_FORMAT Umgehungen CVE-2026-27629 Fix über {% if part.pk %} Sandbox Escape

CVE-2026-35477 betrifft InvenTree-Versionen 1.2.3 bis 1.2.6. Die Schwachstelle liegt in der Art und Weise, wie das System Teilnamen mithilfe von Jinja2-Vorlagen rendert. Obwohl eine Korrektur für CVE-2026-27629 implementiert wurde, wurde diese nicht vollständig angewendet. Insbesondere verwendet der Validator eine Jinja2-Sandbox-Umgebung, während der tatsächliche Renderer in part/helpers.py weiterhin eine nicht-Sandbox-Jinja2-Umgebung verwendet. Dies ermöglicht die Ausführung von beliebigem Code über bösartige Vorlagen in Teilnamen und gefährdet potenziell die Systemsicherheit. Die Verwendung einer Dummy-Part-Instanz mit pk=None während der Validierung führt zu einer Diskrepanz im Verhalten bedingter Vorlagenausdrücke, was die Abmilderung weiter erschwert. Ein Benutzer mit Personalberechtigungen kann diese Schwachstelle ausnutzen.

Organizations utilizing InvenTree for inventory management, particularly those running vulnerable versions (1.2.3 - 1.2.6) in production environments, are at risk. Shared hosting environments where InvenTree is deployed alongside other applications are also vulnerable, as a compromise of one application could lead to the exploitation of this vulnerability.

• python / server:

import os
import subprocess

def check_invenTree_version():
    try:
        result = subprocess.check_output(['pip3', 'show', 'invenTree'], stderr=subprocess.STDOUT)
        version = result.decode('utf-8').split('Version: ')[1].strip()
        if '1.2.3' <= version < '1.2.7':
            print("VULNERABLE: InvenTree version detected.")
        else:
            print("InvenTree version is not vulnerable.")
    except FileNotFoundError:
        print("InvenTree not found.")
    except Exception as e:
        print(f"Error checking version: {e}")

check_invenTree_version()

• generic web:

curl -I http://your-invenTree-instance/admin/settings/ | grep -i 'jinja2'

1. 2026-04-08Disclosure

   disclosure

1. Reserviert2026-04-02
2. Veröffentlicht2026-04-08
3. Geändert2026-04-10
4. EPSS aktualisiert2026-04-16

Die empfohlene Lösung ist ein Upgrade auf InvenTree-Version 1.2.7 oder höher, das diese Schwachstelle vollständig behebt. Dieses Update ersetzt den nicht-Sandbox-Renderer durch die Jinja2-Sandbox-Umgebung, die vom Validator verwendet wird. Darüber hinaus wird empfohlen, alle vorhandenen Teilnamensvorlagen zu überprüfen und zu validieren, um sicherzustellen, dass sie keinen bösartigen Code enthalten. Wenn ein sofortiges Upgrade nicht möglich ist, beschränken Sie den Zugriff auf die Funktionalität zum Bearbeiten von Teilnamen auf vertrauenswürdige Benutzer und überwachen Sie die Systemprotokolle auf verdächtige Aktivitäten. Die Implementierung einer Vorlagensicherheitsrichtlinie ist entscheidend, um zukünftige Schwachstellen zu verhindern.