CVE-2026-55460

Snipe-IT: nieuprawnione usuwanie użytkowników przez błąd autoryzacji w BulkUsersController

CVSS 7.1v3.1pub. 2026-07-10

W systemie Snipe-IT przed wersją 8.6.2 uwierzytelniony użytkownik bez uprawnień do usuwania kont może obejść mechanizm autoryzacji i wykonać operację soft-delete na innych kontach. Podatność wynika z błędu w kontrolerze BulkUsersController, który sprawdza jedynie uprawnienie do edycji, a nie do usuwania.

▸ Pokaż oryginał (EN)

Snipe-IT is an IT asset/license management system. Prior to 8.6.2, an authenticated non-admin user with users.view and users.edit but without users.delete can directly POST to /users/bulksave with delete_user=1 because BulkUsersController::destroy() authorizes only update, allowing the user to soft-delete another non-admin user. This issue is fixed in version 8.6.2.

🤖 Analiza AI

Jak działa

Błąd (CWE-863) polega na nieprawidłowej weryfikacji uprawnień w metodzie BulkUsersController::destroy(). Metoda ta autoryzuje jedynie operację aktualizacji (update), nie weryfikując uprawnienia users.delete. Użytkownik posiadający uprawnienia users.view oraz users.edit może bezpośrednio wysłać żądanie HTTP POST na endpoint /users/bulksave z parametrem delete_user=1, omijając tym samym kontrolę dostępu i inicjując soft-delete wskazanego konta innego nieuprzywilejowanego użytkownika.

Skutki

Atakujący może nieuprawnione usuwać (soft-delete) konta innych użytkowników nieposiadających uprawnień administratora, co narusza integralność systemu zarządzania zasobami IT i może prowadzić do zakłócenia dostępu do systemu dla innych pracowników.

Mitygacja

Należy zaktualizować Snipe-IT do wersji 8.6.2 lub nowszej, w której problem został naprawiony. Patch dostępny jest w oficjalnym repozytorium GitHub pod tagiem v8.6.2.

Kogo dotyczy

Snipeitapp Snipe-IT we wszystkich wersjach przed 8.6.2

Uwagi

Podatność zgłoszona i naprawiona przez zespół Snipe-IT; szczegóły dostępne w security advisory GHSA-vgx7-c78r-69w9 na GitHub. Dotyczy wyłącznie kont nieuprzywilejowanych — konta administratorów nie są zagrożone operacją usunięcia przez tę podatność.