🇰🇷 한글 설명
InvenTree 1.4.0 미만 버전에서 발생하는 취약점으로, 인증된 저권한 사용자가 조작된 JSON 바코드를 전송하여 내부 객체의 기본 키(PK)를 열거할 수 있습니다. 이를 통해 부품, 재고, 공급업체, 주문 등 상업적으로 민감한 인벤토리 및 가격 정보를 무단으로 노출할 수 있습니다.
💡 쉬운 설명
로그인 권한만 있는 사용자가 시스템의 특정 번호를 입력해 기업의 중요한 재고 정보나 가격, 공급처 정보를 몰래 훔쳐볼 수 있는 문제입니다. 시스템이 요청자가 해당 정보를 볼 권한이 있는지 제대로 확인하지 않아 발생합니다.
🇺🇸 원문 (English)
InvenTree is an Open Source Inventory Management System. Prior to 1.4.0, POST /api/barcode/ accepts an attacker-synthesized internal JSON barcode containing a lowercase model label and integer primary key, while BarcodeView uses IsAuthenticatedOrReadScope and requires only authentication or a general read scope. The built-in barcode plugin selects the object with model.objects.get(pk=...), and InvenTreeBarcodeMixin.format_matched_response() returns the complete model serializer output as instance without checking the caller's per-model view role. A low-privilege user can enumerate primary keys for parts, stock, locations, supplier and manufacturer parts, orders, and builds to disclose commercially sensitive inventory, pricing, supplier, customer, and order data. This issue is fixed in version 1.4.0.
📍 영향받는 시스템
InvenTree 1.4.0 미만 버전
⚔️ 공격 벡터
POST /api/barcode/ 엔드포인트에 조작된 내부 JSON 바코드 데이터를 전송하여 객체 식별자(PK) 열거
🛡️ 대응 방법
InvenTree를 최신 보안 패치가 적용된 1.4.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.4.0 미만이면 취약한 상태이며, 1.4.0 이상이면 안전합니다.
pip show inventree | grep Version