Informazioni sul prodotto

Snipe-IT è un sistema di gestione degli asset IT gratuito e open source (FOSS) basato su Laravel. Fornisce funzionalità di tracciamento degli asset hardware, gestione delle licenze software, inventario di accessori e materiali di consumo per i team di operations IT. È attivamente mantenuto e aggiornato di frequente.

Sommario

Esiste una vulnerabilità di cross-site scripting (XSS) riflesso in Snipe-IT v8.3.4 (build 202118) nel flusso di lavoro di importazione CSV. Quando viene caricato un file CSV non valido, l'applicazione restituisce un valore progress_message che viene renderizzato come HTML grezzo nell'interfaccia di amministrazione. Un attaccante può intercettare e modificare la richiesta POST /livewire/update e iniettare JavaScript arbitrario nel parametro progress_message.

Poiché il server non sanifica né valida questo campo prima di rifletterlo al client, il payload iniettato viene eseguito nel browser di qualsiasi amministratore autenticato che visualizza la pagina Import, portando all'esecuzione di JavaScript arbitrario in un contesto privilegiato.

Prodotto interessato

Prodotto: snipe-it - v8.3.4
Venditore: Grokability
Repository: https://github.com/grokability/snipe-it

Componente interessato

Interfaccia di importazione CSV (/import)
Componente frontend Livewire
Payload della richiesta POST /livewire/update
Variabile progress_message

Punteggio base CVSS v3.1

AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:L Pasted image 20251117030626

Vettore di attacco

Un attaccante deve indurre l'amministratore a caricare un file CSV non valido (o simulare il flusso di lavoro). Durante il processo, il client invia un aggiornamento Livewire contenente il campo progress_message. Intercettando questa richiesta tramite un proxy (Burp Suite, MitM, ecc.), l'attaccante può modificare il corpo della richiesta e iniettare JavaScript nel progress_message.

Il server accetta l'input modificato senza sanificazione e riflette il valore contaminato direttamente nell'HTML renderizzato. Quando l'amministratore carica o aggiorna la schermata di stato dell'importazione, il payload iniettato viene eseguito.