InventTree - это система управления запасами с открытым исходным кодом. До версии 1.2.6 определенные конечные точки API, связанные с операц…

InventTree - это система управления запасами с открытым исходным кодом. До версии 1.2.6 определенные конечные точки API, связанные с операциями с объемными данными, могут быть захвачены для извлечения конфиденциальной информации из базы данных. Конечные точки API с объемной работой (например, `/api/part/`, `/api/stock/``, `/api/order/so/allocation/``, принимает параметр фильтры, который передается непосредственно на ORM queryset.filter(**filters) Джанго без какого-либо полевого списка. Это позволяет любому аутентифицированному пользователю проходить через отношения модели, используя синтаксис поиска Django __, и выполнять слепую добычу данных на основе буля. Этот выпуск исправлен в версии 1.2.6 и 1.3.0 (или выше). Пользователи должны обновиться до исправленных версий. Известных обходных путей не имеется.