PT-2026-31436 · Inventree · Inventree

CVE-2026-35479 · Publicado 2026-04-08 · Atualizado 2026-04-08

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.6

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:L

Name of the Vulnerable Software and Affected Versions InvenTree versões anteriores a 1.2.7 e 1.3.0

Description As versões do InvenTree anteriores a 1.2.7 e 1.3.0 permitem que usuários com permissões de acesso à equipe instalem plugins através da API sem acesso de superusuário. Isso ignora as medidas de segurança usuais que exigem privilégios de superusuário para a instalação de plugins, permitindo potencialmente a instalação de plugins maliciosos. O endpoint da API usado para a instalação de plugins não impõe corretamente as verificações de permissão necessárias.

Recommendations Atualize para a versão 1.2.7 ou 1.3.0 do InvenTree.

Exploit

Correção

Improper Authorization

Enumeração de Fraquezas

CWE-285

Identificadores relacionados

CVE-2026-35479

GHSA-7C3Q-VWCV-2VP7

Produtos afetados

Inventree

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/35xxx/CVE-2026-35479.json · Exploit
• https://github.com/inventree/InvenTree/security/advisories/GHSA-7c3q-vwcv-2vp7 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-35479 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-35479 · Aviso do Fabricante
• https://t.me/CVEtracker/50087 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/2042006227702464960 · Publicação no Twitter
• https://docs.inventree.org/en/stable/concepts/threat_model/#assumed-trust · Nota
• https://docs.inventree.org/en/stable/start/config/#plugin-options · Nota