CVE-2026-61807
ŚrednieCVSS 6.3Streszczenie
Snipe-IT przed wersją 8.6.2 zawiera podatność XSS (zapisanego) w nazwie producenta lub dostawcy. Specjalnie spreparowana nazwa może wykonać JavaScript w przeglądarce uwierzytelnionego użytkownika podczas przeglądania strony szczegółów producenta lub dostawcy, potencjalnie ujawniając dane lub umożliwiając działania w kontekście sesji.
Ocena ryzyka
Ryzyko obejmuje przejęcie sesji użytkownika lub kradzież danych w wyniku wykonania złośliwego skryptu w kontekście uprawnień zalogowanego użytkownika.
Rekomendacja
Zaleca się aktualizację do wersji 8.6.2 lub nowszej oraz walidację i sanityzację danych wejściowych dla nazw producentów i dostawców.
Oryginalny opis (angielski, źródło NVD)
Snipe-IT is an IT asset/license management system. Prior to 8.6.2, a stored manufacturer or supplier name passed as the table component $name becomes data-selected-count-id in resources/views/partials/bootstrap-table.blade.php. Client-side code reads the browser-decoded countId, uses it as a selector, concatenates countId.substring(1) into an HTML string, and passes the string to jQuery .after(). A crafted name can therefore execute JavaScript when an authenticated user views the manufacturer detail page or supplier detail page, potentially exposing data or actions available to that session. This issue is fixed in version 8.6.2.