CVE-2026-55481
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
W Snipe-IT przed wersją 8.6.2, w pliku default.blade.php, ustawienia kolorów nagłówka i powiązanych elementów marki są renderowane w bloku CSS z niewystarczającym kodowaniem HTML dla kontekstu CSS. Umożliwia to superadministratorowi wstrzyknięcie dowolnego CSS, który wpływa na uwierzytelnionych użytkowników przy kolejnych ładowaniach stron, gdy Content Security Policy jest wyłączone.
Ocena ryzyka
Ryzyko polega na tym, że superadministrator może wstrzyknąć złośliwy CSS, co może prowadzić do defacementu, kradzieży danych lub ataków phishingowych na uwierzytelnionych użytkowników, jeśli CSP jest wyłączone.
Rekomendacja
Zaleca się natychmiastową aktualizację Snipe-IT do wersji 8.6.2 lub nowszej oraz włączenie Content Security Policy w celu ograniczenia ryzyka wstrzyknięcia CSS.
Inne podatności w Snipe-IT
Zobacz wszystkie- CVE-2026-61807Średnie
Snipe-IT przed wersją 8.6.2 zawiera podatność XSS (zapisanego) w nazwie producenta lub dostawcy. Specjalnie spreparowana nazwa może wykonać JavaScript w przeglądarce uwierzytelnionego użytkownika podczas przeglądania strony szczegółów producenta lub dostawcy, potencjalnie ujawniając dane lub umożliwiając działania w kontekście sesji.
- CVE-2026-55703Średnie
Snipe-IT przed wersją 8.6.3 umożliwia każdemu aktywowanemu kontu odczyt rekordów konserwacji dla zasobów w tej samej firmie bez wymaganych uprawnień. Brak autoryzacji w metodzie show() kontrolera MaintenancesController ujawnia dane takie jak tagi zasobów, dostawcy, koszty zakupu, notatki i daty.
- CVE-2026-55694Wysokie
Snipe-IT przed wersją 8.6.3 ma podatność, która pozwala ograniczonemu użytkownikowi na uzyskanie losowej nazwy pliku EULA innego użytkownika i pobranie podpisanego pliku. Trasy /stored-eula-file/{filename} i /account/stored-eula-file/{filename} nie egzekwują spójnie uprawnień właściciela i autoryzacji docelowego użytkownika.
- CVE-2026-55643Wysokie
Snipe-IT przed wersją 8.6.3 ma podatność, która pozwala użytkownikowi z ograniczeniem do firmy w trybie FMCS floater na dostęp do użytkowników z company_id równym null. Szerokie zapytania API i masowe akcje webowe nie egzekwują spójnie isCurrentUserHasAccess, co może ujawnić dane osobowe i przypisane licencje, a także umożliwić modyfikację profili i usuwanie użytkowników.
- CVE-2026-55519Średnie
Snipe-IT przed wersją 8.4.1 umożliwia uwierzytelnionemu użytkownikowi z ogólnym uprawnieniem edycji zasobów usuwanie plików dołączonych do zasobów spoza jego własności lub firmy. Metody destroy() autoryzują aktualizację względem klasy obiektu zamiast konkretnego wystąpienia, co prowadzi do niebezpiecznego bezpośredniego odwołania do obiektu.
- CVE-2026-55483Średnie
Snipe-IT przed wersją 8.6.0 umożliwia uwierzytelnionemu użytkownikowi z uprawnieniem users.create nadanie uprawnień administratora podczas tworzenia nowego użytkownika. Metoda store() usuwa uprawnienie superużytkownika, ale nie usuwa uprawnienia administratora, co pozwala na uzyskanie przywilejów administracyjnych.
- CVE-2026-55482Średnie
Snipe-IT przed wersją 8.4.1 umożliwia nie-superadministratorowi bezpośrednie przesłanie company_id w metodzie update() kontrolera BulkAssetsController, bez użycia Company::getIdForCurrentUser(). Pozwala to na przenoszenie zasobów między firmami, łamiąc izolację wielodostępową.
- CVE-2026-50550Średnie
Snipe-IT przed wersją 8.5.0 umożliwia użytkownikowi z uprawnieniem edycji innych użytkowników zresetowanie weryfikacji dwuetapowej superadministratora. Endpoint postTwoFactorReset() autoryzuje dostęp do aktualizacji, ale nie egzekwuje canEditAuthFields przed wyczyszczeniem two_factor_secret i two_factor_enrolled.
- CVE-2026-49976Średnie
Snipe-IT przed wersją 8.6.1 umożliwia użytkownikowi z uprawnieniem importu nadpisanie adresu e-mail nie-administratora w trybie aktualizacji CSV, a następnie zażądanie resetu hasła w celu przejęcia konta. Mimo że UserImporter usuwa nieautoryzowane pola, ItemImporter odtwarza je z surowego wiersza CSV, a ścieżka importu nie wymaga uprawnienia users.edit.
- CVE-2026-49870Średnie
Snipe-IT przed wersją 8.6.1 ma podatność w punkcie końcowym POST /two-factor, który nie ma ograniczeń tempa, blokady ani licznika prób. Pozwala to atakującemu z ważnymi poświadczeniami na nieograniczone zgadywanie kodów TOTP, a także umożliwia wyłączenie 2FA bez ponownej weryfikacji OTP w niektórych trybach.
Oryginalny opis (angielski, źródło NVD)
Snipe-IT is an IT asset/license management system. Prior to 8.6.2, default.blade.php renders header_color and related branding color settings inside a CSS style block with HTML escaping that is insufficient for the CSS context, allowing a superadmin to inject arbitrary CSS that affects authenticated users on subsequent page loads when Content Security Policy is disabled. This issue is fixed in version 8.6.2.