PT-2022-21084 · Snipe-It · Snipe-It

Publicado 2022-07-07 · Atualizado 2022-07-15 · CVE-2022-32061

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Snipe-IT versão 6.0.2

Descrição

A vulnerabilidade permite que invasores executem código arbitrário por meio de um arquivo malicioso, explorando uma falha de segurança no envio de arquivos arbitrários na função “Selecionar usuário”, no componente “Menu Pessoas”.

Recomendações

Para o Snipe-IT versão 6.0.2, considere desativar a funcionalidade de upload de arquivos na função “Selecionar Usuário” como uma solução temporária até que um patch esteja disponível. Restrinja o acesso ao componente “Menu Pessoas” para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-32061

GHSA-XWQX-X38C-CW95

Produtos afetados

Snipe-It

Referências · 6

• 🔥 https://grimthereaperteam.medium.com/snipe-it-version-v6-0-2-file-upload-cross-site-scripting-c02e46fa72ab · Exploit
• https://github.com/snipe/snipe-it · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-32061 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-xwqx-x38c-cw95 · Aviso do Fabricante
• https://t.me/cvenotify/32787 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-32061 · Aviso do Fabricante