Zaloguj się
Deutsch English Español Polski
Wysoka

Snipe-IT API Vulnerable to Cross-Tenant Accessory Injection

  • Ujawniono: 23.06.2026
  • Aktualizacja: 11.10.2026 10:22

Impact

A cross-tenant data injection vulnerability was identified in the Snipe-IT Accessories API when Full Multiple Companies Support (FMCS) is enabled. A low-privileged authenticated user belonging to one company can create an accessory record under another company by supplying a foreign company_id value in the API request body.

The issue occurs because the API create path mass-assigns request parameters directly to the Accessory model, and the Accessory model allows company_id to be mass assigned. Unlike the web controller, which uses Company::getIdForCurrentUser() to enforce the authenticated user’s company context, the API controller does not apply equivalent tenant enforcement during accessory creation.

As a result, a Company A user can inject persistent accessory records into Company B. The injected records are then visible to Company B users as legitimate Company B inventory records. This breaks the integrity of company-scoped inventory data and represents a tenant isolation failure in the accessory creation flow.

Patches

Patched in https://github.com/grokability/snipe-it/commit/dc8cbf4786bb38b260b4ae1723ec9e7f81d82fe5

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer snipe/snipe-it < 8.6.2 8.6.2

Odnośniki

Ocena CVSS 8.5/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:L
Słabość (CWE)
CWE-74
Platforma
Composer
Paczka
snipe/snipe-it
Ujawniono
23.06.2026
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-pwpj-p52h-q484 - CC BY 4.0

Historia podatności: snipe/snipe-it

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (81) w archiwum
Wszystkich wpisów
81
Pierwsza → ostatnia
10.2021 09.2026
Bez poprawki
6
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 1
  • Wysoka 23
  • Średnia 53
  • Niska 4

Ujawnienia w latach

Istotność:
  1. Snipe-IT: Stored XSS via Inline XML Rendering in the Uploaded Files API
    Wysoka · 8.7 CVE-2026-63498 < 8.7.0 8.7.0
  2. Snipe-IT: Stored XSS via Custom Field name in asset-list column headers
    Wysoka · 8.1 CVE-2026-62368 < 8.7.0 8.7.0
  3. Snipe-IT: 2FA bypass via the API token flow
    Wysoka CVE-2026-63493 < 8.7.0 8.7.0
  4. Snipe-IT has an Improper Privilege Management issue
    Wysoka · 6.5 CVE-2026-55843 < 8.6.0 8.6.0
  5. Snipe-IT vulnerable to cross-company asset maintenance re-parenting via API update
    Wysoka · 7.7 CVE-2026-55516 < 8.6.2 8.6.2
  6. Snipe-IT vulnerable to directory traversal in displaySig
    Wysoka CVE-2026-55474 < 8.5.0 8.5.0
  7. Snipe-IT has an authorization bypass on bulk editing users
    Wysoka · 7.1 CVE-2026-55460 < 8.6.2 8.6.2
  8. Snipe-IT: Chained Information Disclosure and IDOR Leads to Full EULA File Takeover
    Wysoka CVE-2026-55694 < 8.6.3 8.6.3
  9. Snipe-IT: Tenant Isolation Bypass in FMCS Floater Mode
    Wysoka CVE-2026-55643 < 8.6.3 8.6.3
  10. Snipe-IT API Vulnerable to Cross-Tenant Accessory Injection ten wpis
    Wysoka · 8.5 CVE-2026-54329 < 8.6.2 8.6.2
  11. Snipe-IT: Bulk editing users allowed `ldap_import` and `activated_in` bulk editing users
    Wysoka · 7.1 CVE-2026-48507 < 8.6.0 8.6.0
  12. Snipe-IT has insecure permissions in file uploads
    Krytyczna · 9.8 CVE-2026-37709 < 8.4.1 8.4.1
  13. Snipe-IT has Privilege Escalation via API Permissions Assignment
    Wysoka · 8.8 CVE-2026-44832 < 8.4.1 8.4.1
  14. Snipe-IT has sensitive user attributes related to account privileges that are insufficiently protected against mass assignment
    Wysoka · 8.8 CVE-2025-15602 < 8.3.7 8.3.7
  15. Cross Site Scripting vulnerability in Snipe-IT
    Wysoka · 8.7 CVE-2024-51093 <= 7.0.13 brak poprawki
  16. Snipe-IT remote code execution
    Wysoka · 7.2 CVE-2024-48987 < 7.0.10 7.0.10
  17. Snipe-IT allows users to promote or demote themselves or other users
    Wysoka · 8.1 CVE-2024-5685 < 6.4.2 6.4.2
  18. Cross-Site Request Forgery (CSRF) in snipe/snipe-it
    Wysoka · 8.8 CVE-2023-5511 < 6.2.3 6.2.3
  19. snipe-IT vulnerable to host header injection
    Wysoka · 8.8 CVE-2022-23064 >= 3.0-alpha, < 5.3.8 5.3.8
  20. Old sessions not blocked by login enable function in Snipe-IT
    Wysoka · 7.4 CVE-2022-1155 >= 6.0.0-RC-1, < 6.0.0-RC-6, < 5.4.2 6.0.0-RC-6, 5.4.2
  21. Improper Privilege Management in Snipe-IT
    Wysoka · 8.8 CVE-2022-0611 < 5.3.11 5.3.11
  22. snipe-it is vulnerable to Cross-Site Request Forgery (CSRF)
    Wysoka · 8.8 CVE-2021-4130 < 5.3.6 5.3.6
  23. Server-Side Request Forgery in snipe/snipe-it
    Wysoka · 7.2 CVE-2021-4075 < 6.0.0-GM 6.0.0-GM
  24. Cross-site Scripting in snipe/snipe-it
    Wysoka · 8.0 CVE-2021-3961 < 5.3.2 5.3.2

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.