CVE-2026-55464
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Snipe-IT przed wersją 8.6.2 nie oczyszczał URI javascript: w hiperłączach Markdown, co pozwalało użytkownikowi z uprawnieniem assets.edit na umieszczenie złośliwego linku w polu niestandardowym typu textarea. Gdy inny użytkownik otworzy stronę szczegółów zasobu i kliknie link, wykona się dowolny kod JavaScript.
Ocena ryzyka
Ryzyko polega na możliwości wykonania skryptów XSS w kontekście przeglądarki ofiary, co może prowadzić do kradzieży sesji, wycieku danych lub nieautoryzowanych działań na koncie administratora.
Rekomendacja
Należy niezwłocznie zaktualizować Snipe-IT do wersji 8.6.2 lub nowszej, która zawiera poprawkę usuwającą podatność.
Inne podatności w Snipe-IT
Zobacz wszystkie- CVE-2026-61807Średnie
Snipe-IT przed wersją 8.6.2 zawiera podatność XSS (zapisanego) w nazwie producenta lub dostawcy. Specjalnie spreparowana nazwa może wykonać JavaScript w przeglądarce uwierzytelnionego użytkownika podczas przeglądania strony szczegółów producenta lub dostawcy, potencjalnie ujawniając dane lub umożliwiając działania w kontekście sesji.
- CVE-2026-55703Średnie
Snipe-IT przed wersją 8.6.3 umożliwia każdemu aktywowanemu kontu odczyt rekordów konserwacji dla zasobów w tej samej firmie bez wymaganych uprawnień. Brak autoryzacji w metodzie show() kontrolera MaintenancesController ujawnia dane takie jak tagi zasobów, dostawcy, koszty zakupu, notatki i daty.
- CVE-2026-55694Wysokie
Snipe-IT przed wersją 8.6.3 ma podatność, która pozwala ograniczonemu użytkownikowi na uzyskanie losowej nazwy pliku EULA innego użytkownika i pobranie podpisanego pliku. Trasy /stored-eula-file/{filename} i /account/stored-eula-file/{filename} nie egzekwują spójnie uprawnień właściciela i autoryzacji docelowego użytkownika.
- CVE-2026-55643Wysokie
Snipe-IT przed wersją 8.6.3 ma podatność, która pozwala użytkownikowi z ograniczeniem do firmy w trybie FMCS floater na dostęp do użytkowników z company_id równym null. Szerokie zapytania API i masowe akcje webowe nie egzekwują spójnie isCurrentUserHasAccess, co może ujawnić dane osobowe i przypisane licencje, a także umożliwić modyfikację profili i usuwanie użytkowników.
- CVE-2026-55519Średnie
Snipe-IT przed wersją 8.4.1 umożliwia uwierzytelnionemu użytkownikowi z ogólnym uprawnieniem edycji zasobów usuwanie plików dołączonych do zasobów spoza jego własności lub firmy. Metody destroy() autoryzują aktualizację względem klasy obiektu zamiast konkretnego wystąpienia, co prowadzi do niebezpiecznego bezpośredniego odwołania do obiektu.
- CVE-2026-55483Średnie
Snipe-IT przed wersją 8.6.0 umożliwia uwierzytelnionemu użytkownikowi z uprawnieniem users.create nadanie uprawnień administratora podczas tworzenia nowego użytkownika. Metoda store() usuwa uprawnienie superużytkownika, ale nie usuwa uprawnienia administratora, co pozwala na uzyskanie przywilejów administracyjnych.
- CVE-2026-55482Średnie
Snipe-IT przed wersją 8.4.1 umożliwia nie-superadministratorowi bezpośrednie przesłanie company_id w metodzie update() kontrolera BulkAssetsController, bez użycia Company::getIdForCurrentUser(). Pozwala to na przenoszenie zasobów między firmami, łamiąc izolację wielodostępową.
- CVE-2026-50550Średnie
Snipe-IT przed wersją 8.5.0 umożliwia użytkownikowi z uprawnieniem edycji innych użytkowników zresetowanie weryfikacji dwuetapowej superadministratora. Endpoint postTwoFactorReset() autoryzuje dostęp do aktualizacji, ale nie egzekwuje canEditAuthFields przed wyczyszczeniem two_factor_secret i two_factor_enrolled.
- CVE-2026-49976Średnie
Snipe-IT przed wersją 8.6.1 umożliwia użytkownikowi z uprawnieniem importu nadpisanie adresu e-mail nie-administratora w trybie aktualizacji CSV, a następnie zażądanie resetu hasła w celu przejęcia konta. Mimo że UserImporter usuwa nieautoryzowane pola, ItemImporter odtwarza je z surowego wiersza CSV, a ścieżka importu nie wymaga uprawnienia users.edit.
- CVE-2026-49870Średnie
Snipe-IT przed wersją 8.6.1 ma podatność w punkcie końcowym POST /two-factor, który nie ma ograniczeń tempa, blokady ani licznika prób. Pozwala to atakującemu z ważnymi poświadczeniami na nieograniczone zgadywanie kodów TOTP, a także umożliwia wyłączenie 2FA bez ponownej weryfikacji OTP w niektórych trybach.
Oryginalny opis (angielski, źródło NVD)
Snipe-IT is an IT asset/license management system. Prior to 8.6.2, CommonMark escapes raw HTML but does not sanitize javascript: URIs in Markdown hyperlinks, allowing a user with assets.edit permission to place a malicious link in a markdown-textarea custom field that executes arbitrary JavaScript when another user opens the asset detail page and clicks the link. This issue is fixed in version 8.6.2.