InvenTree प्लगइन इंस्टॉलेशन - अपर्याप्त अनुमतियाँ

CVE-2026-35479 InvenTree को प्रभावित करता है, जो एक ओपन-सोर्स इन्वेंट्री प्रबंधन प्रणाली है। 1.2.7 और 1.3.0 संस्करणों से पहले, कर्मचारी पहुंच अनुमतियों वाले कोई भी उपयोगकर्ता 'सुपरयूजर' खाते की पहुंच की आवश्यकता के बिना API के माध्यम से प्लगइन्स स्थापित कर सकता था। इस अनुमति स्तर की आवश्यकता अन्य प्लगइन क्रियाओं (जैसे अनइंस्टॉल) के साथ संरेखित नहीं है, जिनके लिए सुपरयूजर पहुंच की आवश्यकता होती है। यह भेद्यता कर्मचारियों को (जिन्हें सुपरयूजर खाते की तुलना में कम विश्वसनीय माना जा सकता है) मनमाना और संभावित रूप से दुर्भावनापूर्ण प्लगइन्स स्थापित करने की अनुमति देती है। इससे इन्वेंट्री प्रणाली की अखंडता और सुरक्षा से समझौता हो सकता है, जिससे अनधिकृत कोड निष्पादन और संवेदनशील डेटा तक पहुंच हो सकती है।

Organizations using InvenTree for inventory management, particularly those with multiple staff users granted access to the system. Smaller businesses or those with less stringent security practices are at higher risk, as they may be less likely to have implemented robust access controls or to regularly update their software. Shared hosting environments where multiple InvenTree instances are running on the same server are also at increased risk, as a compromise of one instance could potentially affect others.

• php: Examine InvenTree's API logs for plugin installation requests originating from users without superuser privileges. Look for POST requests to the plugin installation endpoint with unusual or suspicious plugin metadata.

grep 'plugin_install' /var/log/apache2/access.log | grep 'staff_user'

• generic web: Monitor InvenTree's access logs for attempts to access plugin installation endpoints. Look for unusual user agents or IP addresses.

curl -I <invenTree_url>/api/plugins/install

• generic web: Check for the presence of newly installed plugins that were not authorized by the system administrator. Review the plugin list within the InvenTree admin interface.

1. 2026-04-08Disclosure

   disclosure

1. आरक्षित2026-04-02
2. प्रकाशित2026-04-08
3. संशोधित2026-04-09
4. EPSS अद्यतन2026-04-16

CVE-2026-35479 को कम करने का समाधान InvenTree को संस्करण 1.2.7 या उच्चतर, या संस्करण 1.3.0 या उच्चतर में अपडेट करना है। ये संस्करण प्लगइन स्थापना के लिए सुपरयूजर विशेषाधिकारों की आवश्यकता के माध्यम से भेद्यता को ठीक करते हैं, इस प्रक्रिया को अन्य प्लगइन प्रबंधन कार्यों के साथ संरेखित करते हैं। संभावित हमलों से अपनी InvenTree प्रणाली की रक्षा के लिए इस अपडेट को जल्द से जल्द लागू करने की सिफारिश की जाती है। इसके अतिरिक्त, सिस्टम के भीतर महत्वपूर्ण कार्यों तक पहुंच वाले केवल अधिकृत उपयोगकर्ताओं को सुनिश्चित करने के लिए उपयोगकर्ता अनुमति कॉन्फ़िगरेशन की समीक्षा करें। प्लगइन स्थापना से संबंधित किसी भी संदिग्ध गतिविधि का पता लगाने के लिए सिस्टम लॉग की निगरानी करें।