PT-2022-21083 · Snipe-It · Snipe-It

Grim The Ripper Team · Publicado 2022-07-07 · Atualizado 2022-11-28 · CVE-2022-32060

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Snipe-IT versão 6.0.2

Descrição

A vulnerabilidade permite que invasores executem código arbitrário por meio de um arquivo malicioso, explorando uma falha de segurança relacionada ao upload de arquivos no componente “Update Branding Settings”.

Recomendações

Para o Snipe-IT versão 6.0.2, considere desativar a funcionalidade de upload de arquivos no componente “Update Branding Settings” até que uma correção esteja disponível. Restrinja o acesso a este componente para minimizar o risco de exploração. Evite usar o recurso de upload de arquivos no componente afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-32060

GHSA-W82X-XJJR-CJR5

Produtos afetados

Snipe-It

Referências · 8

• 🔥 https://github.com/bypazs/CVE-2022-32060 · Exploit
• 🔥 https://grimthereaperteam.medium.com/snipe-it-version-v6-0-2-file-upload-cross-site-scripting-b15becc1a5ea · Exploit
• https://github.com/snipe/snipe-it · Nota
• https://t.me/cybersecuritytechnologies/7234 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-32060 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-32060 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-w82x-xjjr-cjr5 · Aviso do Fabricante
• https://t.me/cvenotify/32788 · Publicação no Telegram