CVE-2026-63493
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Snipe-IT to system zarządzania aktywami/licencjami IT. W wersjach wcześniejszych niż 8.7.0 sesja uwierzytelniana hasłem dla konta z uprawnieniem self.api może dotrzeć do przepływu interfejsu API tokenu dostępu osobistego przed ukończeniem wyzwania drugiego czynnika konta, ponieważ funkcja CheckForTwoFactor jest wymuszana w grupie oprogramowania pośredniego sieci Web, ale nie w grupie oprogramowania pośredniego interfejsu API. W zaleceniu stwierdzono, że powstały trwały token API może odczytywać i modyfikować zasoby za pomocą uprawnień ofiary, a w przypadku administratora może dotrzeć do punktu końcowego users/two_factor_reset. Zresetowanie drugiego składnika zarejestrowanego przez administratora umożliwia osobie atakującej przechowującej hasło zarejestrowanie składnika kontrolowanego przez osobę atakującą, przejęcie konta internetowego administratora i zablokowanie uprawnionego użytkownika. Token nie tworzy sesji WWW, ale zapewnia szeroki dostęp do API, podczas gdy ta sama sesja przeglądarki pozostaje zablokowana na stronie dwuskładnikowej. Luka ta została naprawiona w wersji 8.7.0.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/grokability/snipe-it/commit/87c362962a670f427be071850b218e43eff5d08e
- https://github.com/grokability/snipe-it/commit/c4ea7db51ca80bf11b1d04fbe46e4a64f54dc780
- https://github.com/grokability/snipe-it/pull/19294
- https://github.com/grokability/snipe-it/releases/tag/v8.7.0
- https://github.com/grokability/snipe-it/security/advisories/GHSA-hxcx-9h4f-42xx
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org