CVE-2026-33531: InvenTree에 보고서 템플릿의 경로 탐색 취약점이 존재함 | Kitploit

CVE-2026-33531

중간게시됨

InvenTree에 보고서 템플릿의 경로 탐색 취약점이 존재함

게시됨: 2026. 3. 26.
업데이트됨: 2026. 3. 27.
CNA 할당 중: GitHub_M
증거 관찰됨: 2026. 8. 25.

기본 CVSS

4.9/ 10중간

nvd · CVSS 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:U/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

EPSS 확률 추정

0.3%

낮음 · 다음 30일

백분위수: 22.1%
모델 날짜: 2026. 9. 21.

EPSS는 통계적 추정치이지 확실성이나 영향의 척도가 아닙니다. 이를 CVSS, KEV 상태, 노출 및 환경과 결합하세요.

요약

InvenTree는 오픈소스 재고 관리 시스템입니다. 버전 1.2.6 이전에는 보고서 템플릿 엔진의 경로 탐색(path traversal) 취약점으로 인해 스태프 권한 사용자가 조작된 템플릿 태그를 통해 서버 파일 시스템의 임의 파일을 읽을 수 있었습니다. 영향을 받는 함수: `src/backend/InvenTree/report/templatetags/report.py`의 `encode_svg_image()`, `asset()`, `uploaded_image()`. 이 취약점을 악용하려면 스태프 접근 권한(악의적으로 조작된 태그가 포함된 템플릿 업로드/편집)이 필요합니다. InvenTree 설치가 호스트 시스템에서 높은 접근 권한으로 구성된 경우, 이 경로 탐색으로 인해 InvenTree 소스 디렉터리 외부의 파일에 접근할 수 있습니다. 이 문제는 버전 1.2.6 및 1.3.0(이상)에서 패치되었습니다. 사용자는 패치된 버전으로 업데이트해야 합니다. 알려진 해결 방법은 없습니다.

소스

InvenTree-Path-Traversal-CVE-2026-33531연구
이 저장소는 InvenTree의 보고서 템플릿 엔진에서 발견된 경로 탐색(path traversal) 취약점에 대한 전문적인 분석 문서를 포함하고 있습니다. 이 취약점은 버전 1.2.6 및 1.3.0에서 패치되었습니다.

책임 있는 사용

귀하가 소유하고 있거나 테스트할 권한이 있는 시스템에 대해서만 취약점 정보를 사용하십시오. Kitploit은 공개 연구 메타데이터에 연결되며 익스플로잇 코드나 악성 페이로드를 저장하지 않습니다.