製品情報

Snipe-IT は Laravel で構築されたフリーかつオープンソースの IT 資産管理システム（FOSS）です。IT 運用チーム向けに、ハードウェア資産の追跡、ソフトウェアライセンス管理、アクセサリ、消耗品の在庫管理機能を提供します。積極的にメンテナンスされ、頻繁に更新されています。

概要

Snipe-IT v8.3.4（build 202118） の CSV インポートワークフローに、反射型クロスサイトスクリプティング（XSS）の脆弱性が存在します。無効な CSV ファイルがアップロードされると、アプリケーションは progress_message の値を返しますが、この値は管理インターフェースで生の HTML としてレンダリングされます。攻撃者は POST /livewire/update リクエストを傍受して改ざんし、progress_message パラメータに任意の JavaScript を注入することができます。

サーバーはこのフィールドをクライアントに反映する前にサニタイズや検証を行わないため、注入されたペイロードは Import ページを閲覧している認証済み管理者のブラウザ上で実行され、特権コンテキストでの任意の JavaScript 実行につながります。

影響を受ける製品

製品: snipe-it - v8.3.4
ベンダー: Grokability
リポジトリ: https://github.com/grokability/snipe-it

影響を受けるコンポーネント

CSV インポート UI（/import）
Livewire フロントエンドコンポーネント
POST /livewire/update リクエストペイロード
progress_message 変数

CVSS v3.1 ベーススコア

AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:L Pasted image 20251117030626

攻撃ベクトル

攻撃者は、管理者に無効な CSV ファイルをアップロードさせる（またはワークフローをシミュレートする）必要があります。その過程で、クライアントは progress_message フィールドを含む Livewire アップデートを送信します。攻撃者はプロキシ（Burp Suite、MitM など）を介してこのリクエストを傍受し、リクエストボディを改ざんして progress_message に JavaScript を注入することができます。

サーバーは改ざんされた入力をサニタイズなしで受け入れ、汚染された値をレンダリングされた HTML に直接反映します。管理者がインポートステータス画面を読み込むか更新すると、注入されたペイロードが実行されます。