CVE-2026-55478
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Snipe-IT przed wersją 8.6.2 zawiera podatność w punkcie końcowym POST /api/v1/kits/{kit_id}/licenses, która pozwala użytkownikowi z niskimi uprawnieniami na przypisanie licencji do zestawu (kitu) bez odpowiedniej autoryzacji. Brakuje walidacji dostępu do obiektu licencji, co umożliwia nieautoryzowane powiązanie licencji z zestawem.
Ocena ryzyka
Organizacja narażona jest na ryzyko nieautoryzowanego zarządzania licencjami, co może prowadzić do naruszenia polityk licencyjnych i potencjalnych strat finansowych lub prawnych.
Rekomendacja
Należy niezwłocznie zaktualizować Snipe-IT do wersji 8.6.2 lub nowszej, która zawiera poprawkę usuwającą tę podatność.
Inne podatności w Snipe-IT
Zobacz wszystkie- CVE-2026-61807Średnie
Snipe-IT przed wersją 8.6.2 zawiera podatność XSS (zapisanego) w nazwie producenta lub dostawcy. Specjalnie spreparowana nazwa może wykonać JavaScript w przeglądarce uwierzytelnionego użytkownika podczas przeglądania strony szczegółów producenta lub dostawcy, potencjalnie ujawniając dane lub umożliwiając działania w kontekście sesji.
- CVE-2026-55703Średnie
Snipe-IT przed wersją 8.6.3 umożliwia każdemu aktywowanemu kontu odczyt rekordów konserwacji dla zasobów w tej samej firmie bez wymaganych uprawnień. Brak autoryzacji w metodzie show() kontrolera MaintenancesController ujawnia dane takie jak tagi zasobów, dostawcy, koszty zakupu, notatki i daty.
- CVE-2026-55694Wysokie
Snipe-IT przed wersją 8.6.3 ma podatność, która pozwala ograniczonemu użytkownikowi na uzyskanie losowej nazwy pliku EULA innego użytkownika i pobranie podpisanego pliku. Trasy /stored-eula-file/{filename} i /account/stored-eula-file/{filename} nie egzekwują spójnie uprawnień właściciela i autoryzacji docelowego użytkownika.
- CVE-2026-55643Wysokie
Snipe-IT przed wersją 8.6.3 ma podatność, która pozwala użytkownikowi z ograniczeniem do firmy w trybie FMCS floater na dostęp do użytkowników z company_id równym null. Szerokie zapytania API i masowe akcje webowe nie egzekwują spójnie isCurrentUserHasAccess, co może ujawnić dane osobowe i przypisane licencje, a także umożliwić modyfikację profili i usuwanie użytkowników.
- CVE-2026-55519Średnie
Snipe-IT przed wersją 8.4.1 umożliwia uwierzytelnionemu użytkownikowi z ogólnym uprawnieniem edycji zasobów usuwanie plików dołączonych do zasobów spoza jego własności lub firmy. Metody destroy() autoryzują aktualizację względem klasy obiektu zamiast konkretnego wystąpienia, co prowadzi do niebezpiecznego bezpośredniego odwołania do obiektu.
- CVE-2026-55483Średnie
Snipe-IT przed wersją 8.6.0 umożliwia uwierzytelnionemu użytkownikowi z uprawnieniem users.create nadanie uprawnień administratora podczas tworzenia nowego użytkownika. Metoda store() usuwa uprawnienie superużytkownika, ale nie usuwa uprawnienia administratora, co pozwala na uzyskanie przywilejów administracyjnych.
- CVE-2026-55482Średnie
Snipe-IT przed wersją 8.4.1 umożliwia nie-superadministratorowi bezpośrednie przesłanie company_id w metodzie update() kontrolera BulkAssetsController, bez użycia Company::getIdForCurrentUser(). Pozwala to na przenoszenie zasobów między firmami, łamiąc izolację wielodostępową.
- CVE-2026-50550Średnie
Snipe-IT przed wersją 8.5.0 umożliwia użytkownikowi z uprawnieniem edycji innych użytkowników zresetowanie weryfikacji dwuetapowej superadministratora. Endpoint postTwoFactorReset() autoryzuje dostęp do aktualizacji, ale nie egzekwuje canEditAuthFields przed wyczyszczeniem two_factor_secret i two_factor_enrolled.
- CVE-2026-49976Średnie
Snipe-IT przed wersją 8.6.1 umożliwia użytkownikowi z uprawnieniem importu nadpisanie adresu e-mail nie-administratora w trybie aktualizacji CSV, a następnie zażądanie resetu hasła w celu przejęcia konta. Mimo że UserImporter usuwa nieautoryzowane pola, ItemImporter odtwarza je z surowego wiersza CSV, a ścieżka importu nie wymaga uprawnienia users.edit.
- CVE-2026-49870Średnie
Snipe-IT przed wersją 8.6.1 ma podatność w punkcie końcowym POST /two-factor, który nie ma ograniczeń tempa, blokady ani licznika prób. Pozwala to atakującemu z ważnymi poświadczeniami na nieograniczone zgadywanie kodów TOTP, a także umożliwia wyłączenie 2FA bez ponownej weryfikacji OTP w niektórych trybach.
Oryginalny opis (angielski, źródło NVD)
Snipe-IT is an IT asset/license management system. Prior to 8.6.2, POST /api/v1/kits/{kit_id}/licenses checks whether the caller can edit kits but does not authorize access to the referenced license object, allowing a low-privilege user with predefined-kit permissions to bind a license they should not be able to access or manage into a kit. This issue is fixed in version 8.6.2.