CVE-2026-55519
ŚrednieCVSS 5.4Streszczenie
Snipe-IT przed wersją 8.4.1 umożliwia uwierzytelnionemu użytkownikowi z ogólnym uprawnieniem edycji zasobów usuwanie plików dołączonych do zasobów spoza jego własności lub firmy. Metody destroy() autoryzują aktualizację względem klasy obiektu zamiast konkretnego wystąpienia, co prowadzi do niebezpiecznego bezpośredniego odwołania do obiektu.
Ocena ryzyka
Ryzyko obejmuje możliwość usunięcia ważnych plików związanych z zasobami, co może prowadzić do utraty danych i naruszenia integralności.
Rekomendacja
Zaleca się aktualizację do wersji 8.4.1 lub nowszej oraz wdrożenie autoryzacji na poziomie konkretnego zasobu.
Oryginalny opis (angielski, źródło NVD)
Snipe-IT is an IT asset/license management system. Prior to 8.4.1, an authenticated user with generic asset edit permission can delete files attached to assets outside the user's ownership or company assignment. The destroy() methods in app/Http/Controllers/Api/UploadedFilesController.php and app/Http/Controllers/UploadedFilesController.php authorize update against the object class instead of the resolved object instance, creating an insecure direct object reference. This issue is fixed in version 8.4.1.