Instalação de Plugin no InvenTree - Permissões Insuficientes

CVE-2026-35479 afeta o InvenTree, um sistema de gerenciamento de inventário de código aberto. Antes das versões 1.2.7 e 1.3.0, qualquer usuário com permissões de equipe (staff) podia instalar plugins através da API sem a necessidade de uma conta de 'superusuário'. Esse nível de exigência de permissão está desalinhado com outras ações de plugin (como a desinstalação), que exigem acesso de superusuário. A vulnerabilidade permite que usuários da equipe (que podem ser considerados com um nível de confiança menor do que uma conta de superusuário) instalem plugins arbitrários e potencialmente maliciosos. Isso pode comprometer a integridade e a segurança do sistema de inventário, permitindo a execução de código não autorizado e o acesso a dados confidenciais.

Organizations using InvenTree for inventory management, particularly those with multiple staff users granted access to the system. Smaller businesses or those with less stringent security practices are at higher risk, as they may be less likely to have implemented robust access controls or to regularly update their software. Shared hosting environments where multiple InvenTree instances are running on the same server are also at increased risk, as a compromise of one instance could potentially affect others.

• php: Examine InvenTree's API logs for plugin installation requests originating from users without superuser privileges. Look for POST requests to the plugin installation endpoint with unusual or suspicious plugin metadata.

grep 'plugin_install' /var/log/apache2/access.log | grep 'staff_user'

• generic web: Monitor InvenTree's access logs for attempts to access plugin installation endpoints. Look for unusual user agents or IP addresses.

curl -I <invenTree_url>/api/plugins/install

• generic web: Check for the presence of newly installed plugins that were not authorized by the system administrator. Review the plugin list within the InvenTree admin interface.

1. 2026-04-08Disclosure

   disclosure

1. Reservado2026-04-02
2. Publicada2026-04-08
3. Modificada2026-04-09
4. EPSS atualizado2026-04-16

A solução para mitigar CVE-2026-35479 é atualizar o InvenTree para a versão 1.2.7 ou superior, ou para a versão 1.3.0 ou superior. Essas versões corrigem a vulnerabilidade exigindo privilégios de superusuário para a instalação de plugins, alinhando esse processo com as demais ações de gerenciamento de plugins. Recomenda-se aplicar esta atualização o mais rápido possível para proteger seu sistema InvenTree de possíveis ataques. Além disso, revise as configurações de permissão do usuário para garantir que apenas os usuários autorizados tenham acesso a funções críticas do sistema. Monitore os logs do sistema para detectar qualquer atividade suspeita relacionada à instalação de plugins.