CVE-2026-33531

总结

InvenTree 是一个开源库存管理系统。在 1.2.6 版本之前，报告模板引擎中存在一个路径遍历漏洞，允许具有员工（staff）级别权限的用户通过精心构造的模板标签读取服务器文件系统上的任意文件。受影响的函数包括 `src/backend/InvenTree/report/templatetags/report.py` 中的 `encode_svg_image()`、`asset()` 和 `uploaded_image()`。此漏洞需要员工访问权限（用于上传/编辑包含恶意构造标签的模板）。如果 InvenTree 安装配置了主机系统上的高访问权限，此路径遍历漏洞可能允许访问 InvenTree 源代码目录之外的文件。该问题已在 1.2.6 和 1.3.0（或更高版本）中修复。用户应更新到已修复的版本。目前没有已知的变通方案。

• InvenTree-Path-Traversal-CVE-2026-33531研究

  该仓库包含一篇关于在InvenTree报告模板引擎中发现路径遍历漏洞的专业分析报告。该漏洞已在1.2.6和1.3.0版本中修复。