Produktinformation

Snipe-IT ist ein freies und quelloffenes IT-Asset-Management-System (FOSS), das auf Laravel basiert. Es bietet Hardware-Asset-Tracking, Software-Lizenzverwaltung, Zubehör- und Verbrauchsmaterialien-Inventarfunktionen für IT-Betriebsteams. Es wird aktiv gewartet und häufig aktualisiert.

Zusammenfassung

Eine reflektierte Cross-Site-Scripting (XSS)-Sicherheitslücke existiert in Snipe-IT v8.3.4 (Build 202118) innerhalb des CSV-Import-Workflows. Wenn eine ungültige CSV-Datei hochgeladen wird, gibt die Anwendung einen progress_message-Wert zurück, der als rohes HTML in der Admin-Oberfläche gerendert wird. Ein Angreifer kann die POST /livewire/update-Anfrage abfangen und modifizieren und beliebiges JavaScript in den progress_message-Parameter einschleusen. Da der Server dieses Feld nicht bereinigt oder validiert, bevor es an den Client zurückgespiegelt wird, wird die eingeschleuste Nutzlast im Browser jedes authentifizierten Administrators ausgeführt, der die Importseite ansieht, was zur Ausführung beliebigen JavaScripts in einem privilegierten Kontext führt.

Betroffenes Produkt

Produkt: snipe-it - v8.3.4
Anbieter: Grokability
Repository: https://github.com/grokability/snipe-it

Betroffene Komponente

CSV-Import-Benutzeroberfläche (/import)
Livewire-Frontend-Komponente
POST /livewire/update-Anfrage-Payload
progress_message-Variable

CVSS v3.1 Basis-Score

AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:L Eingefügtes Bild 20251117030626

Angriffsvektor

Ein Angreifer muss den Administrator veranlassen, eine ungültige CSV-Datei hochzuladen (oder den Workflow zu simulieren). Während des Vorgangs sendet der Client ein Livewire-Update, das das progress_message-Feld enthält. Durch Abfangen dieser Anfrage über einen Proxy (Burp Suite, MitM usw.) kann der Angreifer den Anforderungstext modifizieren und JavaScript in die progress_message einschleusen. Der Server akzeptiert die modifizierte Eingabe ohne Bereinigung und spiegelt den verunreinigten Wert direkt in das gerenderte HTML zurück. Wenn der Administrator den Importstatus-Bildschirm lädt oder aktualisiert, wird die eingeschleuste Nutzlast ausgeführt.