InvenTreeには、PART_NAME_FORMATのバイパスによるSSTIがあり、CVE-2026-27629の修正を{% if part.pk %}サンドボックスエスケープで回避

CVE-2026-35477 は、InvenTree のバージョン 1.2.3 ～ 1.2.6 に影響を与えます。この脆弱性は、Jinja2 テンプレートを使用して部品名をレンダリングする方法にあります。CVE-2026-27629 の修正が実装されましたが、完全に適用されていません。具体的には、バリデータは Jinja2 サンドボックス環境を使用しますが、part/helpers.py 内の実際のレンダラーは、サンドボックス化されていない Jinja2 環境を使用し続けています。これにより、部品名内の悪意のあるテンプレートを介して任意のコードを実行できるようになり、システム セキュリティが損なわれる可能性があります。バリデーション中に pk=None のダミー Part インスタンスを使用すると、条件付きテンプレート式の動作に差異が生じ、緩和がさらに複雑になります。スタッフユーザーは、この脆弱性を悪用できます。

Organizations utilizing InvenTree for inventory management, particularly those running vulnerable versions (1.2.3 - 1.2.6) in production environments, are at risk. Shared hosting environments where InvenTree is deployed alongside other applications are also vulnerable, as a compromise of one application could lead to the exploitation of this vulnerability.

• python / server:

import os
import subprocess

def check_invenTree_version():
    try:
        result = subprocess.check_output(['pip3', 'show', 'invenTree'], stderr=subprocess.STDOUT)
        version = result.decode('utf-8').split('Version: ')[1].strip()
        if '1.2.3' <= version < '1.2.7':
            print("VULNERABLE: InvenTree version detected.")
        else:
            print("InvenTree version is not vulnerable.")
    except FileNotFoundError:
        print("InvenTree not found.")
    except Exception as e:
        print(f"Error checking version: {e}")

check_invenTree_version()

• generic web:

curl -I http://your-invenTree-instance/admin/settings/ | grep -i 'jinja2'

1. 2026-04-08Disclosure

   disclosure

1. 予約済み2026-04-02
2. 公開日2026-04-08
3. 更新日2026-04-10
4. EPSS 更新日2026-04-16

推奨される解決策は、InvenTree をバージョン 1.2.7 以降にアップグレードすることです。これにより、この脆弱性が完全に修正されます。このアップデートでは、非サンドボックスレンダラーが、バリデータで使用される Jinja2 サンドボックス環境に置き換えられます。さらに、既存の部品名テンプレートをすべて確認および検証して、悪意のあるコードが含まれていないことを確認することをお勧めします。直ちにアップグレードできない場合は、部品名編集機能へのアクセスを信頼できるユーザーに制限し、システムログを監視して疑わしいアクティビティがないか確認してください。テンプレートセキュリティポリシーを実装することが、将来の脆弱性を防ぐために重要です。