InvenTree में रिमोट इमेज डाउनलोड के माध्यम से SSRF — remote_image URLs पर कोई IP/Hostname सत्यापन नहीं

InvenTree में CVE-2026-39362 भेद्यता 1.2.7 से पहले और 1.3.0 संस्करणों को प्रभावित करती है, जब INVENTREEDOWNLOADFROMURL विकल्प सक्षम होता है। यह प्रमाणित उपयोगकर्ताओं को दूरस्थ छवि URL प्रदान करने की अनुमति देता है, जिन्हें Django के URLValidator जांच के साथ सर्वर-साइड पर requests.get() के माध्यम से प्राप्त किया जाता है। निजी IP रेंज या आंतरिक होस्टनाम के खिलाफ कोई सत्यापन नहीं है। रीडायरेक्ट का पालन किया जाता है (allowredirects=True), जिससे किसी भी URL प्रारूप जांच को बायपास किया जा सकता है। यह एक हमलावर को अनधिकृत आंतरिक या बाहरी स्रोत से दुर्भावनापूर्ण सामग्री डाउनलोड करने के लिए सिस्टम को निर्देशित करने की अनुमति दे सकता है, जिससे सिस्टम अखंडता और डेटा गोपनीयता से समझौता हो सकता है।

Organizations using InvenTree for inventory management, particularly those with the INVENTREEDOWNLOADFROM_URL setting enabled, are at risk. Shared hosting environments where InvenTree is deployed alongside other applications are also vulnerable, as a compromised InvenTree instance could potentially be used to attack other services on the same server.

• python / server:

# Check for the presence of the vulnerable code in the InvenTree codebase.
grep -r 'requests.get(url, allow_redirects=True)' /path/to/inventree/source

• generic web:

# Monitor access logs for requests to internal IP addresses or unusual domains originating from authenticated InvenTree users.
grep '127.0.0.1' /var/log/apache2/access.log

1. 2026-04-08Disclosure

   disclosure

1. आरक्षित2026-04-06
2. प्रकाशित2026-04-08
3. संशोधित2026-04-10
4. EPSS अद्यतन2026-04-16

इस भेद्यता को ठीक करने का तरीका InvenTree को संस्करण 1.2.7 या उच्चतर, या संस्करण 1.3.0 में अपडेट करना है। इन संस्करणों में डाउनलोड किए गए URL के लिए अतिरिक्त सत्यापन शामिल है, जो निजी IP पतों और आंतरिक होस्टनाम तक पहुंच को रोकता है। यदि तत्काल अपडेट संभव नहीं है, तो अपडेट लागू किए जा सकने तक INVENTREEDOWNLOADFROM_URL विकल्प को अक्षम करने की अनुशंसा की जाती है। बाहरी स्रोतों से आंतरिक संसाधनों तक पहुंच को सीमित करने के लिए नेटवर्क सुरक्षा नीतियों की समीक्षा और मजबूत करना भी महत्वपूर्ण है।