CVE-2026-49976
ŚrednieCVSS 6.5Streszczenie
Snipe-IT przed wersją 8.6.1 umożliwia użytkownikowi z uprawnieniem importu nadpisanie adresu e-mail nie-administratora w trybie aktualizacji CSV, a następnie zażądanie resetu hasła w celu przejęcia konta. Mimo że UserImporter usuwa nieautoryzowane pola, ItemImporter odtwarza je z surowego wiersza CSV, a ścieżka importu nie wymaga uprawnienia users.edit.
Ocena ryzyka
Ryzyko obejmuje przejęcie konta użytkownika poprzez manipulację danymi importu, co może prowadzić do nieautoryzowanego dostępu do danych.
Rekomendacja
Zaleca się aktualizację do wersji 8.6.1 lub nowszej oraz wymaganie uprawnień users.edit dla operacji importu zmieniających dane uwierzytelniające.
Oryginalny opis (angielski, źródło NVD)
Snipe-IT is an IT asset/license management system. Prior to 8.6.1, a user with the import permission can use CSV update mode to overwrite the email address of a non-admin user and then request a password reset to take over that account. app/Importer/UserImporter.php applies the canEditAuthFields gate by unsetting username, email, password, and activated on the model, but app/Importer/ItemImporter.php sanitizeItemForUpdating() rebuilds the update array from the raw CSV row in $this->item, restoring the unauthorized values. The app/Http/Controllers/ImportController.php import path checks import permission but does not require users.edit. This issue is fixed in version 8.6.1.