CVE-2026-33531

सारांश

InvenTree एक ओपन सोर्स इन्वेंटरी प्रबंधन प्रणाली है। संस्करण 1.2.6 से पहले, रिपोर्ट टेम्पलेट इंजन में एक पाथ ट्रैवर्सल भेद्यता मौजूद है, जो स्टाफ-स्तर के उपयोगकर्ता को क्राफ्टेड टेम्पलेट टैग के माध्यम से सर्वर फाइलसिस्टम से मनमानी फाइलें पढ़ने की अनुमति देती है। प्रभावित फ़ंक्शन: `src/backend/InvenTree/report/templatetags/report.py` में `encode_svg_image()`, `asset()`, और `uploaded_image()`। इसके लिए स्टाफ एक्सेस की आवश्यकता होती है (दुर्भावनापूर्ण रूप से क्राफ्टेड टैग के साथ टेम्पलेट अपलोड/संपादित करने के लिए)। यदि InvenTree इंस्टॉलेशन होस्ट सिस्टम पर उच्च एक्सेस विशेषाधिकारों के साथ कॉन्फ़िगर किया गया है, तो यह पाथ ट्रैवर्सल InvenTree स्रोत निर्देशिका के बाहर फाइल एक्सेस की अनुमति दे सकता है। यह समस्या संस्करण 1.2.6 और 1.3.0 (या उससे ऊपर) में पैच की गई है। उपयोगकर्ताओं को पैच किए गए संस्करणों में अपडेट करना चाहिए। कोई ज्ञात वर्कअराउंड उपलब्ध नहीं हैं।

• InvenTree-Path-Traversal-CVE-2026-33531अनुसंधान

  इस रिपॉजिटरी में InvenTree के रिपोर्ट टेम्पलेट इंजन में खोजी गई पाथ ट्रैवर्सल भेद्यता का एक पेशेवर विवरण शामिल है। इस भेद्यता को संस्करण 1.2.6 और 1.3.0 में पैच किया गया था।