PT-2024-37081 · Snipe-It · Snipe-It

Publicado 2024-06-14 · Atualizado 2024-06-19 · CVE-2024-5685

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.6

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas:

snipe-it, versões 4.6.17 a 6.4.1

Descrição:

A vulnerabilidade permite que usuários com permissões User:edit e Self:api promovam ou rebaixem a si mesmos ou a outros usuários, realizando alterações nas composições dos grupos por meio de uma chamada de API.

Recomendações:

Para as versões 4.6.17 a 6.4.1, considere restringir as permissões User:edit e Self:api para impedir alterações não autorizadas nas associações do grupo até que um patch esteja disponível. Como solução alternativa temporária, considere desativar as chamadas de API que permitem alterações nas associações do grupo para minimizar o risco de exploração.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-5685

GHSA-544R-FC65-V832

Produtos afetados

Snipe-It

Referências · 14

• https://github.com/snipe/snipe-it/commit/34f1ea1c0ecd403047cd1327569ee391a7201cc1 · Correção
• https://github.com/snipe/snipe-it · Nota
• https://github.com/snipe/snipe-it/releases/tag/v6.4.2 · Nota
• https://github.com/snipe/snipe-it/pull/14745 · Nota
• https://t.me/cvenotify/83641 · Publicação no Telegram
• https://twitter.com/CveFindCom/status/1801555418553930048 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-5685 · Nota de Segurança
• https://t.me/cvenotify/83286 · Publicação no Telegram
• https://advisory.checkmarx.net/?search=CVE-2024-5685 · Nota
• https://twitter.com/CVEnew/status/1801673809025741274 · Publicação no Twitter
• https://devhub.checkmarx.com/cve-details/CVE-2024-5685 · Nota
• https://t.me/cvenotify/83737 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-544r-fc65-v832 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-5685 · Aviso do Fabricante