InvenTree 預告嚴重權限提升漏洞：計劃 11 月 3 日香港時間晚上 9 時發布修補
情報摘要
InvenTree 團隊表示，多個自 2025 年起發布的版本存在嚴重漏洞，現有用戶可能在系統內提升權限。團隊計劃於 2026 年 11 月 3 日香港時間晚上 9 時，隨 1.7.0 公開詳情及修補版本；管理員應先停用帳戶註冊、檢查現有用戶及限制未經強化的公開存取。
InvenTree 在 2026 年 11 月 3 日的官方預告表示，漏洞可讓系統內已有的用戶提升權限，攻擊複雜度低。公告沒有把問題描述為任何未登入訪客都可直接取得管理員權限，也沒有公開技術觸發方式。
團隊預定於 11 月 3 日 13:00 UTC，即香港時間 21:00，隨 1.7.0 發布漏洞披露及修補。這是預告中的計劃時間，不能據此視為修補已經推出；下載前應核對官方正式發佈及升級指示。
團隊表示當時未悉有活躍利用，並提醒修補及詳情公開後存在被利用的風險。這是團隊在預告中的觀察，並不等於已排除所有攻擊。
受影響產品
InvenTree 庫存管理系統；官方預告稱涉及自 2025 年起的多個版本，尚未列出完整受影響版本範圍。
適用讀者
香港使用或自行託管 InvenTree 的企業、庫存管理團隊及系統管理員
建議行動
依官方預告，修補推出前先停用新帳戶註冊，檢查是否信任所有現有用戶，尤其 staff 或以上權限的帳戶。未按官方威脅模型完成安全強化的實例不應直接公開至互聯網；管理員應準備在正式修補推出後更新，或先撤下公開存取。實際更新版本及程序須以其後正式公告為準。
風險評級依據
InvenTree 核心團隊在預告中將漏洞稱為 critical，並指出攻擊複雜度低；本文沿用其定性評級，沒有推算 CVSS 分數。
解讀限制
預告尚未提供 CVE 編號、CVSS 分數或確切受影響版本上下限；不能把所有 2025 年以後的版本一概視為已確認受影響。
1.7.0 在此公告中屬計劃中的修補版本，實際推出情況與修補範圍須以後續官方披露為準。
官方預告沒有指出香港用戶或機構已受影響。
資料來源
本機收藏只保存在此瀏覽器，不會自動同步或分享。