CVE-2026-55483
ŚrednieCVSS 4.9Streszczenie
Snipe-IT przed wersją 8.6.0 umożliwia uwierzytelnionemu użytkownikowi z uprawnieniem users.create nadanie uprawnień administratora podczas tworzenia nowego użytkownika. Metoda store() usuwa uprawnienie superużytkownika, ale nie usuwa uprawnienia administratora, co pozwala na uzyskanie przywilejów administracyjnych.
Ocena ryzyka
Ryzyko obejmuje eskalację uprawnień, gdzie zwykły użytkownik może utworzyć konto z uprawnieniami administratora, co może prowadzić do pełnej kompromitacji systemu.
Rekomendacja
Zaleca się aktualizację do wersji 8.6.0 lub nowszej oraz weryfikację, czy uprawnienia administratora są odpowiednio kontrolowane podczas tworzenia użytkowników.
Oryginalny opis (angielski, źródło NVD)
Snipe-IT is an IT asset/license management system. Prior to 8.6.0, an authenticated user with users.create permission can submit the admin permission while creating a user because store() in app/Http/Controllers/Users/UsersController.php strips superuser permission but does not strip admin permission. The created account can obtain administrative privileges. This issue is fixed in version 8.6.0.