製品・ソフトウェアに関する情報
Vulnerability Search
inventree projectのinventreeにおける認可に関する脆弱性
Title inventree projectのinventreeにおける認可に関する脆弱性
Summary

InvenTreeはオープンソースの在庫管理システムです。バージョン1.2.7および1.3.0より前のバージョンでは、スタッフアクセス権を持つ任意のユーザーが「スーパーユーザー」アカウントのアクセス権を必要とせずにAPI経由でプラグインをインストールできました。この権限要件のレベルは、アンインストールなど他のプラグイン操作（スーパーユーザーアクセスが必要）と整合していません。この脆弱性により、スタッフユーザー（スーパーユーザーアカウントよりも信頼レベルが低いと見なされることがあります）が任意の（潜在的に有害な）プラグインをインストールする可能性があります。この脆弱性はバージョン1.2.7および1.3.0で修正されました。

Possible impacts 当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアの一部が停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 
Solution

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Publication Date April 8, 2026, midnight
Registration Date April 23, 2026, 10:12 a.m.
Last Update April 23, 2026, 10:12 a.m.
CVSS3.0 : 警告
Score 4.7
Vector CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:L
Affected System
inventree project
inventree 1.2.7 未満
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
No Changed Details Date of change
1 [2026年04月23日]
  掲載		 April 23, 2026, 10:12 a.m.
NVD Vulnerability Information
CVE-2026-35479
Summary

InvenTree is an Open Source Inventory Management System. Prior to 1.2.7 and 1.3.0, any users who have staff access permissions can install plugins via the API, without requiring "superuser" account access. This level of permission requirement is out of alignment with other plugin actions (such as uninstalling) which do require superuser access. The vulnerability allows staff users (who may be considered to have a lower level of trust than a superuser account) to install arbitrary (and potentially harmful) plugins. This vulnerability is fixed in 1.2.7 and 1.3.0.

Publication Date April 9, 2026, 5:16 a.m.
Registration Date April 15, 2026, 11:32 a.m.
Last Update April 21, 2026, 10:35 p.m.
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:inventree_project:inventree:*:*:*:*:*:*:*:* 1.2.7
Related information, measures and tools
Common Vulnerabilities List