CVE-2025-63743
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Podatność na atak XSS w systemie zarządzania aktywami Snipe-IT w wersjach od 8.3.0 do 8.3.1. Uwierzytelniony atakujący z minimalnymi uprawnieniami może wstrzyknąć dowolny kod JavaScript przez pola "Imię" i "Nazwisko". Kod wykonuje się przy przeglądaniu raportu aktywności lub profilu przez innych użytkowników z odpowiednimi uprawnieniami, o ile profil nie ma ustawionej wyświetlanej nazwy.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji, przejęcia kont lub wykonania nieautoryzowanych działań w kontekście ofiary, co może prowadzić do wycieku danych lub naruszenia integralności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację Snipe-IT do wersji 8.3.2 lub nowszej, która usuwa podatność. Dodatkowo warto rozważyć ustawienie wyświetlanej nazwy dla profili użytkowników.
Oryginalny opis (angielski, źródło NVD)
Cross-Site Scripting vulnerability in the Snipe-IT web-based asset management system v8.3.0 to up and including v8.3.1 allows authenticated attacker with lowest privileges sufficient only to log in, to inject arbitrary JavaScript code via "Name" and "Surname" fields. The JavaScript code is executed whenever "Activity Report" or modified profile is viewed directly by any user with sufficient permissions. Successful exploitation of this issue requires that the profile's "Display Name" is not set. The vulnerability is fixed in v8.3.2.