CVE-2025-47226 - Snipe-IT <= v8.0.4 में IDOR कमजोरी

🚨 Snipe-IT में असुरक्षित प्रत्यक्ष वस्तु संदर्भ (IDOR) कमजोरी प्रमाणित उपयोगकर्ताओं को location_id के साथ छेड़छाड़ करके अन्य विभागों की परिसंपत्ति जानकारी देखने की अनुमति देती है।

✍️ खोजकर्ता

Siripong Jintung

GitHub: Sn1p3r-H4ck3r Linkedin: www.linkedin.com/in/siripong-j-885b652b6) , आक्रामक सुरक्षा विशेषज्ञ | Movaci Co., Ltd.

---

📋 PoC सारांश

फ़ील्ड	विवरण
CVE ID	CVE-2025-47226
उत्पाद	Snipe-IT (द्वारा Grokability)
प्रभावित संस्करण	<= v8.0.4
पैच किया गया संस्करण	v8.1.0
प्रकार	असुरक्षित प्रत्यक्ष वस्तु संदर्भ (IDOR)
Endpoint	/locations/{id}/printassigned

🧪 प्रूफ ऑफ कॉन्सेप्ट

विस्तृत पुनरुत्पादन चरणों के लिए PoC/idor-exploit.md देखें।

🔐 प्रभाव

• विभागों के बीच परिसंपत्ति सूची और असाइनमेंट का अनधिकृत प्रकटीकरण।
• बहु-विभागीय परिनियोजनों में आंतरिक डेटा सीमाओं का विघटन।

🩹 पैच

• पैच PR: https://github.com/grokability/snipe-it/pull/16672
• रिलीज़: https://github.com/grokability/snipe-it/releases/tag/v8.1.0

📚 संदर्भ

• CVE रिकॉर्ड
• https://www.cve.org/CVERecord?id=CVE-2025-47226
• https://nvd.nist.gov/vuln/detail/CVE-2025-47226