CVE-2026-37709

RCE w Snipe-IT — Insecure Permissions w API uploadu plików

CVSS 9.8v3.1pub. 2026-05-07upd. 2026-05-12

Podatność klasy Insecure Permissions w aplikacji Snipe-IT w wersji 8.4.0 i wcześniejszych umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu na serwerze. Krytyczny wynik CVSS 9.8 odzwierciedla pełny brak wymagań dotyczących uwierzytelnienia ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

Insecure Permissions vulnerability in grokability snipe-it v.8.4.0 and before and fixed after 2026-03-10 commit 676a9958 allows a remote attacker to execute arbitrary code via the app/Http/Controllers/Api/UploadedFilesController.php component

🤖 Analiza AI

Jak działa

Podatność znajduje się w komponencie app/Http/Controllers/Api/UploadedFilesController.php, odpowiedzialnym za obsługę przesyłanych plików przez API. Nieprawidłowe uprawnienia (CWE-284) pozwalają atakującemu na przesłanie i uruchomienie złośliwego pliku bez konieczności posiadania uprawnień ani uwierzytelnienia. Przez sieć, bez żadnych dodatkowych warunków, atakujący może dostarczyć payload prowadzący do wykonania kodu (RCE) na serwerze.

Skutki

Atakujący może wykonać dowolny kod na podatnym serwerze, co prowadzi do pełnego przejęcia systemu, wycieku danych oraz naruszenia poufności, integralności i dostępności aplikacji i jej danych.

Mitygacja

Należy zaktualizować Snipe-IT do wersji zawierającej commit 676a9958 (opublikowany 2026-03-10) lub nowszej. Szczegółowe informacje dostępne są w oficjalnym security advisory na GitHub: https://github.com/grokability/snipe-it/security/advisories/GHSA-xg82-2hrv-hf64

Kogo dotyczy

Snipeitapp Snipe-IT w wersji 8.4.0 i wcześniejszych (podatność naprawiona po commicie 676a9958 z dnia 2026-03-10)

Uwagi

Podatność została naprawiona commitem 676a9958 z dnia 2026-03-10, zanim CVE zostało opublikowane (2026-05-07). Organizacje korzystające z Snipe-IT powinny zweryfikować, czy ich instalacja zawiera wskazany commit lub późniejszą wersję.