PT-2026-38544 · Grokability · Snipe-It

0Xaspros · Publicado 2026-05-07 · Atualizado 2026-05-12 · CVE-2026-37709

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas grokability snipe-it versões anteriores a 8.4.1

Descrição Permissões inseguras permitem que um invasor remoto execute código arbitrário por meio do componente app/Http/Controllers/Api/UploadedFilesController.php. Usuários com permissões para visualizar ativos ou consumíveis podem enviar uma solicitação POST para o endpoint "/api/v1/{object type}/{id}/files". A API autoriza incorretamente essas solicitações usando permissões de visualização em vez de permissões de gravação, permitindo a persistência de arquivos e entradas de log de auditoria.

Recomendações Atualize para a versão 8.4.1.

Correção

RCE

Improper Access Control

Enumeração de Fraquezas

CWE-284

Identificadores relacionados

CVE-2026-37709

GHSA-XG82-2HRV-HF64

Produtos afetados

Snipe-It

Referências · 7

• https://github.com/grokability/snipe-it · Nota
• https://github.com/grokability/snipe-it/commit/676a9958895a77de340565e7a0b17ae744664904 · Correção
• https://github.com/grokability/snipe-it/security/advisories/GHSA-xg82-2hrv-hf64 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-xg82-2hrv-hf64 · Aviso do Fabricante
• https://twitter.com/lyrie_ai/status/2054133649210020128 · Publicação no Twitter
• https://twitter.com/UpwindMDR/status/2053368781305418081 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-37709 · Nota de Segurança