产品信息

Snipe-IT 是一个基于 Laravel 构建的免费开源 IT 资产管理系统（FOSS）。它为 IT 运维团队提供硬件资产追踪、软件许可证管理、配件和耗材库存管理等功能。该项目维护活跃且更新频繁。

摘要

Snipe-IT v8.3.4（build 202118） 的 CSV 导入流程中存在一个反射型跨站脚本（XSS）漏洞。当上传无效的 CSV 文件时，应用程序会返回一个 progress_message 值，该值会在管理界面中以原始 HTML 形式渲染。攻击者可以拦截并修改 POST /livewire/update 请求，向 progress_message 参数中注入任意 JavaScript。

由于服务器在将该字段反射回客户端之前未进行过滤或校验，注入的载荷会在任何查看导入页面的已认证管理员的浏览器中执行，从而在特权上下文中执行任意 JavaScript。

受影响产品

产品： snipe-it - v8.3.4
厂商： Grokability
仓库： https://github.com/grokability/snipe-it

受影响组件

CSV 导入界面（/import）
Livewire 前端组件
POST /livewire/update 请求载荷
progress_message 变量

CVSS v3.1 基础评分

AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:L Pasted image 20251117030626

攻击向量

攻击者必须诱使管理员上传无效的 CSV 文件（或模拟该流程）。在此过程中，客户端会发送包含 progress_message 字段的 Livewire 更新。攻击者通过代理（Burp Suite、MitM 等）拦截该请求后，即可修改请求体并向 progress_message 注入 JavaScript。

服务器未经任何过滤即接受修改后的输入，并将受污染的值直接反射回渲染后的 HTML 中。当管理员加载或刷新导入状态页面时，注入的载荷便会执行。