CVE-2025-47226 - Уязвимость IDOR в Snipe-IT <= v8.0.4

🚨 Уязвимость небезопасной прямой ссылки на объект (IDOR) в Snipe-IT позволяет аутентифицированным пользователям просматривать информацию об активах из других отделов, изменяя location_id.

✍️ Обнаружено

Siripong Jintung

GitHub: Sn1p3r-H4ck3r Linkedin: www.linkedin.com/in/siripong-j-885b652b6) , Специалист по наступательной безопасности | Movaci Co., Ltd.

📋 Сводка PoC

Поле	Детали
CVE ID	CVE-2025-47226
Продукт	Snipe-IT (от Grokability)
Затронутая версия	<= v8.0.4
Исправленная версия	v8.1.0
Тип	Небезопасная прямая ссылка на объект (IDOR)
Эндпоинт	`/locations/{id}/printassigned`

🧪 Доказательство концепции

Подробные шаги по воспроизведению см. в PoC/idor-exploit.md.

🔐 Воздействие

Несанкционированное раскрытие информации об инвентаризации активов и их назначении между отделами.
Нарушение внутренних границ данных в развертываниях с несколькими отделами.

🩹 Патч

PR с патчем: https://github.com/grokability/snipe-it/pull/16672
Релиз: https://github.com/grokability/snipe-it/releases/tag/v8.1.0

CVE-2025-47226

Популярное