CVE-2026-55472
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W Snipe-IT przed wersją 8.6.2, przy włączonej pełnej obsłudze wielu firm (Full Multiple Companies Support) i opcji scope_locations_fmcs, endpoint API do tworzenia lokalizacji wykrywa niezgodność firm między lokalizacją nadrzędną a podrzędną, ale nie przerywa operacji, umożliwiając utworzenie lokalizacji podrzędnej w innej firmie niż nadrzędna.
Ocena ryzyka
Organizacja może utracić izolację danych między firmami, co prowadzi do nieautoryzowanego dostępu do lokalizacji i potencjalnego naruszenia polityk bezpieczeństwa lub zgodności.
Rekomendacja
Niezwłocznie zaktualizuj Snipe-IT do wersji 8.6.2 lub nowszej, która zawiera poprawkę uniemożliwiającą tworzenie lokalizacji z niezgodnością firm.
Inne podatności w Snipe-IT
Zobacz wszystkie- CVE-2026-61807Średnie
Snipe-IT przed wersją 8.6.2 zawiera podatność XSS (zapisanego) w nazwie producenta lub dostawcy. Specjalnie spreparowana nazwa może wykonać JavaScript w przeglądarce uwierzytelnionego użytkownika podczas przeglądania strony szczegółów producenta lub dostawcy, potencjalnie ujawniając dane lub umożliwiając działania w kontekście sesji.
- CVE-2026-55703Średnie
Snipe-IT przed wersją 8.6.3 umożliwia każdemu aktywowanemu kontu odczyt rekordów konserwacji dla zasobów w tej samej firmie bez wymaganych uprawnień. Brak autoryzacji w metodzie show() kontrolera MaintenancesController ujawnia dane takie jak tagi zasobów, dostawcy, koszty zakupu, notatki i daty.
- CVE-2026-55694Wysokie
Snipe-IT przed wersją 8.6.3 ma podatność, która pozwala ograniczonemu użytkownikowi na uzyskanie losowej nazwy pliku EULA innego użytkownika i pobranie podpisanego pliku. Trasy /stored-eula-file/{filename} i /account/stored-eula-file/{filename} nie egzekwują spójnie uprawnień właściciela i autoryzacji docelowego użytkownika.
- CVE-2026-55643Wysokie
Snipe-IT przed wersją 8.6.3 ma podatność, która pozwala użytkownikowi z ograniczeniem do firmy w trybie FMCS floater na dostęp do użytkowników z company_id równym null. Szerokie zapytania API i masowe akcje webowe nie egzekwują spójnie isCurrentUserHasAccess, co może ujawnić dane osobowe i przypisane licencje, a także umożliwić modyfikację profili i usuwanie użytkowników.
- CVE-2026-55519Średnie
Snipe-IT przed wersją 8.4.1 umożliwia uwierzytelnionemu użytkownikowi z ogólnym uprawnieniem edycji zasobów usuwanie plików dołączonych do zasobów spoza jego własności lub firmy. Metody destroy() autoryzują aktualizację względem klasy obiektu zamiast konkretnego wystąpienia, co prowadzi do niebezpiecznego bezpośredniego odwołania do obiektu.
- CVE-2026-55483Średnie
Snipe-IT przed wersją 8.6.0 umożliwia uwierzytelnionemu użytkownikowi z uprawnieniem users.create nadanie uprawnień administratora podczas tworzenia nowego użytkownika. Metoda store() usuwa uprawnienie superużytkownika, ale nie usuwa uprawnienia administratora, co pozwala na uzyskanie przywilejów administracyjnych.
- CVE-2026-55482Średnie
Snipe-IT przed wersją 8.4.1 umożliwia nie-superadministratorowi bezpośrednie przesłanie company_id w metodzie update() kontrolera BulkAssetsController, bez użycia Company::getIdForCurrentUser(). Pozwala to na przenoszenie zasobów między firmami, łamiąc izolację wielodostępową.
- CVE-2026-50550Średnie
Snipe-IT przed wersją 8.5.0 umożliwia użytkownikowi z uprawnieniem edycji innych użytkowników zresetowanie weryfikacji dwuetapowej superadministratora. Endpoint postTwoFactorReset() autoryzuje dostęp do aktualizacji, ale nie egzekwuje canEditAuthFields przed wyczyszczeniem two_factor_secret i two_factor_enrolled.
- CVE-2026-49976Średnie
Snipe-IT przed wersją 8.6.1 umożliwia użytkownikowi z uprawnieniem importu nadpisanie adresu e-mail nie-administratora w trybie aktualizacji CSV, a następnie zażądanie resetu hasła w celu przejęcia konta. Mimo że UserImporter usuwa nieautoryzowane pola, ItemImporter odtwarza je z surowego wiersza CSV, a ścieżka importu nie wymaga uprawnienia users.edit.
- CVE-2026-49870Średnie
Snipe-IT przed wersją 8.6.1 ma podatność w punkcie końcowym POST /two-factor, który nie ma ograniczeń tempa, blokady ani licznika prób. Pozwala to atakującemu z ważnymi poświadczeniami na nieograniczone zgadywanie kodów TOTP, a także umożliwia wyłączenie 2FA bez ponownej weryfikacji OTP w niektórych trybach.
Oryginalny opis (angielski, źródło NVD)
Snipe-IT is an IT asset/license management system. Prior to 8.6.2, when Full Multiple Companies Support and scope_locations_fmcs are enabled, the API location creation endpoint detects an invalid parent-child company mismatch but does not return immediately, allowing creation of a child location under a parent location from a different company. This issue is fixed in version 8.6.2.