CVE-2026-39362

🟡 Monitoruj

Brak walidacji adresów URL w InvenTree pozwala na atak typu SSRF.

CVSS
7.1
EPSS
0.3%
Exploit
none
Vendor
inventree_project
Opis źródłowy (NVD)

InvenTree is an Open Source Inventory Management System. Prior to 1.2.7 and 1.3.0, when INVENTREE_DOWNLOAD_FROM_URL is enabled (opt-in), authenticated users can supply remote_image URLs that are fetched server-side via requests.get() with only Django's URLValidator check. There is no validation against private IP ranges or internal hostnames. Redirects are followed (allow_redirects=True), enabling bypass of any URL-format checks. This vulnerability is fixed in 1.2.7 and 1.3.0.

brak Brak patcha
Źródła i daty
ŹródłoWartość
NVD – CVSS7.1
CISA KEV (aktywnie wykorzystywane)Nie
FIRST EPSS (prawdopodobieństwo exploita)0.3%
Opublikowano (NVD)2026-04-08 20:16:25 UTC
Ostatnia modyfikacja (NVD)2026-10-06 22:10:00 UTC
Referencje