InvenTree possui SSTI em desvios PART_NAME_FORMAT, ignorando a correção do CVE-2026-27629 via escape de sandbox {% if part.pk %}

CVE-2026-35477 afeta o InvenTree nas versões de 1.2.3 a 1.2.6. A vulnerabilidade reside na forma como o sistema renderiza os nomes das peças usando modelos Jinja2. Embora tenha sido implementada uma correção para CVE-2026-27629, esta não foi totalmente aplicada. Especificamente, o validador utiliza um ambiente Jinja2 sandboxed, mas o motor de renderização real em part/helpers.py continua a utilizar um ambiente Jinja2 não sandboxed. Isso permite a execução de código arbitrário através de modelos maliciosos nos nomes das peças, comprometendo potencialmente a segurança do sistema. A utilização de uma instância de Part fictícia com pk=None durante a validação introduz uma discrepância no comportamento das expressões condicionais, o que complica ainda mais a mitigação. Um utilizador com privilégios de pessoal pode explorar esta vulnerabilidade.

Organizations utilizing InvenTree for inventory management, particularly those running vulnerable versions (1.2.3 - 1.2.6) in production environments, are at risk. Shared hosting environments where InvenTree is deployed alongside other applications are also vulnerable, as a compromise of one application could lead to the exploitation of this vulnerability.

• python / server:

import os
import subprocess

def check_invenTree_version():
    try:
        result = subprocess.check_output(['pip3', 'show', 'invenTree'], stderr=subprocess.STDOUT)
        version = result.decode('utf-8').split('Version: ')[1].strip()
        if '1.2.3' <= version < '1.2.7':
            print("VULNERABLE: InvenTree version detected.")
        else:
            print("InvenTree version is not vulnerable.")
    except FileNotFoundError:
        print("InvenTree not found.")
    except Exception as e:
        print(f"Error checking version: {e}")

check_invenTree_version()

• generic web:

curl -I http://your-invenTree-instance/admin/settings/ | grep -i 'jinja2'

1. 2026-04-08Disclosure

   disclosure

1. Reservado2026-04-02
2. Publicada2026-04-08
3. Modificada2026-04-10
4. EPSS atualizado2026-04-16

A solução recomendada é atualizar o InvenTree para a versão 1.2.7 ou posterior, que corrige completamente esta vulnerabilidade. Esta atualização substitui o motor de renderização não sandboxed pelo ambiente Jinja2 sandboxed utilizado pelo validador. Adicionalmente, recomenda-se rever e validar todos os modelos de nomes de peças existentes para garantir que não contenham código malicioso. Se não for possível atualizar imediatamente, recomenda-se restringir o acesso à funcionalidade de edição de nomes de peças a utilizadores de confiança e monitorizar os registos do sistema em busca de atividades suspeitas. Implementar uma política de segurança de modelos é crucial para prevenir futuras vulnerabilidades.