PT-2026-31437 · Inventree+1 · Inventree+1

CVE-2026-39362 · Publicado 2026-04-08 · Atualizado 2026-04-08

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N

Name of the Vulnerable Software and Affected Versions InvenTree versões anteriores a 1.2.7 e 1.3.0

Description InvenTree, um Sistema de Gerenciamento de Inventário de Código Aberto, apresenta uma falha onde usuários autenticados podem fornecer URLs de imagem remotas quando a configuração INVENTREE DOWNLOAD FROM URL está habilitada. Essas URLs são buscadas no servidor usando requests.get() com apenas uma verificação de formato de URL do Django. Não há validação contra faixas de IP privadas ou nomes de host internos, e os redirecionamentos são seguidos, ignorando as verificações de formato de URL. Isso permite Server-Side Request Forgery.

Recommendations Atualize para a versão 1.2.7 ou 1.3.0.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-39362

GHSA-M9J7-JW3M-FR22

Produtos afetados

Inventree

Requests

Referências · 5

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/39xxx/CVE-2026-39362.json · Exploit
• https://github.com/inventree/InvenTree/security/advisories/GHSA-m9j7-jw3m-fr22 · Nota
• https://twitter.com/VulmonFeeds/status/2042001106994184535 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-39362 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-39362 · Aviso do Fabricante