Katalog podatności CVE

Snipe-IT w wersjach 4.2.0 do 8.6.3 udostępnia automatycznie zarejestrowane trasy Laravel Passport dla osobistych tokenów dostępu (GET, POST, DELETE /oauth/personal-access-tokens*) tylko z oprogramowaniem pośredniczącym 'web' i 'auth:web', bez bramki uprawnień self.api, którą Snipe-IT egzekwuje na własnych punktach końcowych tokenów (/account/api i /api/v1/account/personal-access-tokens). Każdy użytkownik z ważną sesją webową i odpowiednim tokenem CSRF może wysłać POST do /oauth/personal-access-tokens i wygenerować długożyjący token bearer dla własnego konta, nawet gdy administrator odmówił uprawnienia self.api. Wydany token nadal podlega istniejącym politykom autoryzacji per punkt końcowy, więc nie jest to eskalacja uprawnień; to niweczy administracyjną kontrolę mającą na celu zablokowanie dostępu API/skryptowego na poziomie uprawnień samego użytkownika. Naprawione w 8.7.0 (commit 3f74b8c), które rejestruje nadrzędne trasy opakowane w oprogramowanie pośredniczące can:self.api.

snipe-it przed wersją 8.7.0 nie waliduje flagi requestable dla modeli zasobów w punkcie końcowym POST /account/request/asset_model/{modelId}. Uwierzytelnieni użytkownicy mogą ominąć administracyjne ograniczenia i tworzyć żądania wypożyczenia dla modeli zasobów, które nie są requestable, wysyłając żądania bezpośrednio do punktu końcowego.

snipe-it przed wersją 8.7.0 nie egzekwuje zakresowania FMCS per instancja w punktach końcowych audytu zasobów, polegając wyłącznie na filtrowaniu na poziomie zapytań zamiast na kontrolach autoryzacji na poziomie polityki. Atakujący z ważnymi sesjami i uprawnieniami assets.audit mogli zapisywać wpisy dziennika audytu przeciwko zasobom z innych firm, gdyby zakres na poziomie zapytań został ominięty lub zrefaktorowany.

Snipe-IT w wersjach <= 8.6.3 (naprawione w 8.7.0) nie sprawdza wartości zwracanej operacji zapisu w ImageUploadRequest::handleImages(). Gdy zapis do magazynu nie powiedzie się po cichu, aplikacja i tak usuwa poprzedni obraz i zapisuje w bazie odniesienie do nowej nazwy pliku, który nigdy nie powstał. Analogiczny problem występuje w deleteExistingImage(), gdzie nieudane Storage::delete() zeruje pole obrazu, osierocając plik na dysku. Problem nie jest bezpośrednio kontrolowany przez atakującego — występuje, gdy uwierzytelniony użytkownik wysyła obraz, a backend magazynu chwilowo zawodzi (np. błąd sieci S3, problem z uprawnieniami, wyczerpanie limitu). Skutkuje to nieodwracalną utratą poprzedniego obrazu i trwałą niespójnością między bazą danych a dyskiem. Dotyczy to wszystkich modeli obsługiwanych przez ImageUploadRequest::handleImages (zasoby, modele zasobów, użytkownicy, firmy, producenci, lokalizacje, kategorie, dostawcy, działy i inne).

Snipe-IT przed wersją 8.7.0 czyści bazę danych przed walidacją przesłanego archiwum kopii zapasowej w punkcie końcowym przywracania. Superużytkownicy przesyłający uszkodzone lub nieprawidłowe pliki zip powodują trwałą utratę danych bez możliwości odzyskania lub wycofania zmian.

W Snipe-IT do wersji 8.6.3 włącznie, punkty końcowe raportów akceptacji nie są poprawnie ograniczone, gdy włączona jest pełna obsługa wielu firm (FMCS). Uwierzytelniony użytkownik z uprawnieniem reports.view może wysyłać e-maile z przypomnieniami i trwale usuwać rekordy akceptacji z innych firm, wykorzystując brak odpowiedniego sprawdzania zakresu.

Snipe-IT przed wersją 8.7.0 zawiera podatność na obejście autoryzacji w komponentach Livewire, które egzekwują autoryzację tylko na poziomie trasy, a nie w metodach cyklu życia komponentu. Atakujący z ważną sesją mogą odtwarzać podpisane migawki komponentów, aby wywoływać chronione metody i eskalować uprawnienia.

W wersjach Snipe-IT po 8.6.3 (z gałęzi master, nie wydanych w żadnym tagu) eksport raportu o niezgodnościach zakresu FMCS nie stosuje zabezpieczeń przed formułami CSV, w przeciwieństwie do innych eksportów. Uwierzytelniony użytkownik może umieścić formułę w polach tekstowych, która zostanie wykonana po otwarciu pliku CSV w programach arkuszowych.

Snipe-IT przed wersją 8.7.0 nie ogranicza poprawnie zapytań raportu akceptacji zasobów do firmy, co pozwala uwierzytelnionym użytkownikom z uprawnieniem reports.view na odczyt oczekujących akceptacji we wszystkich firmach. Atakujący mogą uzyskać dostęp do strony raportu lub eksportu CSV, ujawniając szczegóły inwentarza i nazwiska osób przypisanych.

Snipe-IT do wersji 8.6.3 nie neutralizuje elementów formuł w eksporcie CSV raportu akceptacji 'niezaakceptowane zasoby'. Raport jest budowany ręcznie i nie stosuje zabezpieczeń League\Csv\EscapeFormula. Uwierzytelniony użytkownik z niskimi uprawnieniami może umieścić formułę w polach tekstowych, która zostanie wykonana po otwarciu pliku CSV w programach arkuszowych.

PocketMine-MP przed wersją 5.39.2 nie ogranicza rozmiaru ładunku JSON w obsłudze pakietów ModalFormResponsePacket, co pozwala uwierzytelnionym graczom na spowodowanie odmowy usługi. Atakujący mogą wysyłać pakiety odpowiedzi formularza z ogromnymi tablicami JSON, wyczerpując pamięć serwera i zasoby CPU.

PocketMine-MP przed wersją 5.39.2 zawiera podatność na amplifikację sieci w obsłudze pakietów ActorEventPacket, która pozwala klientom na wywoływanie animacji konsumpcji dla wszystkich widocznych graczy. Atakujący mogą wysyłać spreparowane pakiety ActorEventPacket, aby spamować zdarzeniami animacji innych klientów i marnować zasoby CPU i pamięci serwera.

PocketMine-MP przed wersją 5.42.1 zawiera podatność na odmowę usługi w obsłudze pakietów LoginPacket, która pozwala zdalnym atakującym na zalewanie serwera komunikatami ostrzegawczymi poprzez wstrzykiwanie licznych nieznanych właściwości do JWT clientData. Atakujący mogą wysyłać złośliwe pakiety logowania z nadmierną liczbą nieznanych właściwości, marnując czas CPU serwera i obniżając wydajność.

PocketMine-MP przed wersją 5.44.2 nie waliduje poprawnie wielu pakietów ResourcePackClientResponsePacket ze statusem STATUS_COMPLETED podczas obsługi pakietów zasobów. Złośliwi klienci mogą wysyłać serie tych pakietów, aby wielokrotnie wywoływać postęp przed spawnem, tworząc zduplikowane obiekty Player i zwiększając zużycie pamięci oraz ruch sieciowy.

Dell SCG 5.0 Appliance przed wersją 5.36.00.16 oraz Dell SCG 5.0 Application przed wersją 5.36.00.00 zawierają podatność na niewłaściwe oczyszczanie niestandardowych znaków specjalnych. Zdalny, nieuwierzytelniony atakujący może wykorzystać tę podatność do wstrzyknięcia skryptów.

Dell SCG 5.0 Appliance przed wersją 5.36.00.16 oraz Dell SCG 5.0 Application przed wersją 5.36.00.00 zawierają podatność na niewłaściwą neutralizację sekwencji sterujących, meta lub escape. Zdalny, nieuwierzytelniony atakujący może wykorzystać tę podatność do przeprowadzenia ataków phishingowych.

Dell SCG 5.0 Appliance przed wersją 5.36.00.16 oraz Dell SCG 5.0 Application przed wersją 5.36.00.00 zawierają podatność na niewłaściwe kodowanie lub escapowanie danych wyjściowych. Zdalny, nieuwierzytelniony atakujący może wykorzystać tę podatność do przeprowadzenia ataków phishingowych.

Dell SCG 5.0 Appliance przed wersją 5.36.00.16 oraz Dell SCG 5.0 Application przed wersją 5.36.00.00 zawierają podatność polegającą na użyciu zaszytych na stałe poświadczeń. Zdalny, nieuwierzytelniony atakujący może wykorzystać tę podatność do ujawnienia informacji.

Dell SCG 5.0 Appliance przed wersją 5.36.00.16 oraz Dell SCG 5.0 Application przed wersją 5.36.00.00 zawierają podatność polegającą na użyciu zaszytego na stałe klucza kryptograficznego. Zdalny, nieuwierzytelniony atakujący może wykorzystać tę podatność do nieautoryzowanego dostępu.

Dell SCG 5.0 Appliance przed wersją 5.36.00.16 oraz Dell SCG 5.0 Application przed wersją 5.36.00.00 zawierają podatność na niewłaściwą walidację certyfikatów. Zdalny, nieuwierzytelniony atakujący może wykorzystać tę podatność do obejścia mechanizmów ochronnych.