PT-2026-57267 · Snipe-It · Snipe-It

Publicado 2026-07-10 · Atualizado 2026-07-10 · CVE-2026-55474

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.1

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versões anteriores a 8.5.0

Description Um invasor autenticado pode ler arquivos arbitrários acessíveis ao processo do servidor web. Isso ocorre porque a função displaySig dentro do ActionlogController concatena o parâmetro de rota filename em um caminho de diretório de upload privado sem a sanitização adequada, permitindo a travessia de diretório.

Recommendations Atualizar para a versão 8.5.0.

Correção

Relative Path Traversal

Enumeração de Fraquezas

CWE-23

Identificadores relacionados

CVE-2026-55474

Produtos afetados

Snipe-It

Referências · 6

• https://github.com/grokability/snipe-it/security/advisories/GHSA-c6f4-wj38-m3g3 · Aviso do Fabricante
• https://github.com/grokability/snipe-it/pull/18927 · Correção
• https://github.com/grokability/snipe-it/releases/tag/v8.5.0 · Nota
• https://github.com/grokability/snipe-it/commit/cd69a7ea53e030e6e05f08be18daac672c8c4121 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-55474 · Nota de Segurança
• https://twitter.com/CVEnew/status/2075666975276048835 · Publicação no Twitter