CVE-2026-33531

ملخص

InvenTree هو نظام مفتوح المصدر لإدارة المخزون. قبل الإصدار 1.2.6، تسمح ثغرة اجتياز المسار في محرك قوالب التقارير لمستخدم بمستوى الموظفين بقراءة ملفات عشوائية من نظام ملفات الخادم عبر وسوم قوالب مصممة بعناية. الدوال المتأثرة: `encode_svg_image()` و`asset()` و`uploaded_image()` في `src/backend/InvenTree/report/templatetags/report.py`. يتطلب هذا وصول الموظفين (لرفع/تعديل القوالب بوسوم مصممة بشكل خبيث). إذا تم تكوين تثبيت InvenTree بصلاحيات وصول عالية على النظام المضيف، فقد يسمح هذا الاجتياز بالوصول إلى ملفات خارج دليل مصدر InvenTree. تم إصلاح هذه المشكلة في الإصدار 1.2.6 و1.3.0 (أو أعلى). يجب على المستخدمين التحديث إلى الإصدارات المُصلحة. لا توجد حلول بديلة معروفة.

• InvenTree-Path-Traversal-CVE-2026-33531البحث

  يحتوي هذا المستودع على تقرير احترافي حول ثغرة اجتياز المسار (Path Traversal) التي تم اكتشافها في محرك قوالب التقارير الخاص بـ InvenTree. تم إصلاح هذه الثغرة في الإصدارين 1.2.6 و1.3.0.