CVE-2026-33531

概要

InvenTreeは、オープンソースの在庫管理システムです。バージョン1.2.6より前では、レポートテンプレートエンジンのパストラバーサル（パス横断）の脆弱性により、スタッフレベルのユーザーが巧妙に細工されたテンプレートタグを介して、サーバーのファイルシステムから任意のファイルを読み取ることができました。影響を受ける関数は、`src/backend/InvenTree/report/templatetags/report.py` 内の `encode_svg_image()`、`asset()`、および `uploaded_image()` です。この脆弱性を悪用するには、スタッフアクセス権（悪意を持って細工されたタグを含むテンプレートをアップロード/編集する権限）が必要です。InvenTreeのインストールがホストシステム上で高いアクセス権限を持つように構成されている場合、このパストラバーサルにより、InvenTreeのソースディレクトリ外のファイルへのアクセスが可能になる可能性があります。この問題はバージョン1.2.6および1.3.0（以降）で修正されています。ユーザーは修正済みのバージョンに更新する必要があります。既知の回避策はありません。

• InvenTree-Path-Traversal-CVE-2026-33531研究

  このリポジトリには、InvenTreeのレポートテンプレートエンジンで発見されたパストラバーサル脆弱性に関する専門的なレポートが含まれています。この脆弱性はバージョン1.2.6および1.3.0で修正されました。