CVE-2026-19579
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Snipe-IT przed wersją 8.6.0 zawiera obejście autoryzacji (niebezpieczne bezpośrednie odwołanie do obiektu) w punkcie końcowym anulowania żądania wypożyczenia zasobu. Wartości cancel_by_admin i requestingUser są odczytywane z segmentów ścieżki URL kontrolowanych przez użytkownika i używane bez kontroli autoryzacji po stronie serwera, więc każdy uwierzytelniony użytkownik z niskimi uprawnieniami może podać niepustą wartość cancel_by_admin, aby ominąć kontrolę własności żądania i anulować oczekujące żądanie wypożyczenia innego użytkownika. Ponieważ identyfikatory zasobów i użytkowników są sekwencyjnymi liczbami całkowitymi, atakujący może je wyliczyć, aby anulować wszystkie oczekujące żądania wypożyczenia, zakłócając przepływ pracy z żądaniami zasobów. Problem został naprawiony w Snipe-IT 8.6.0.
Ocena ryzyka
Ryzyko obejmuje możliwość anulowania żądań wypożyczenia innych użytkowników, co może zakłócić procesy biznesowe i spowodować niedogodności. Może to również naruszyć integralność danych i zaufanie do systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację Snipe-IT do wersji 8.6.0 lub nowszej. Należy również przeprowadzić audyt uprawnień i wdrożyć odpowiednie kontrole autoryzacji.
Oryginalny opis (angielski, źródło NVD)
Snipe-IT before 8.6.0 contains an authorization bypass (insecure direct object reference) in the asset checkout-request cancellation endpoint. The cancel_by_admin and requestingUser values are read from user-controlled URL path segments and used without a server-side authorization check, so any authenticated, low-privileged user can supply a non-empty cancel_by_admin value to bypass the request-ownership check and cancel another user's pending checkout request. Because asset and user identifiers are sequential integers, an attacker can enumerate them to cancel every pending checkout request, disrupting the asset-request workflow. This is fixed in Snipe-IT 8.6.0.