Rajib-Mahmud

An authenticated user with file-management access can upload malicious XML and XSLT (Extensible Stylesheet Language Transformations) attachments. The API endpoint 'GET /api/v1/{object type}/{id}/files/{file id}' fails to apply a safe-inline allowlist when the `inline` parameter is set to `true`. This allows the browser to process an attacker-controlled xml-stylesheet reference, leading to the execution of arbitrary JavaScript within the Snipe-IT origin. If an authorized victim opens the attachment URL, the script can read same-origin data and perform authenticated actions using the victim's privileges, potentially leading to administrative account compromise and exposure of sensitive asset, user, and license information.

An authorization bypass exists in the bulk delete functionality. This issue allows restricted users to perform a soft-delete on users outside their authorized scope by including unauthorized user IDs in bulk delete requests, enabling them to modify or disable accounts they are not permitted to access.

An authorization bypass exists in the REST API timesheet collection endpoint. The system fails to enforce activity-team access controls, allowing users with the `view other timesheet` permission to list timesheets associated with activities restricted to teams they are not members of, which bypasses intended data isolation.

توجد مشكلة تتمثل في أن المستخدم على نطاق الشركة في وضع FMCS floater يمكنه الوصول إلى المستخدمين الذين لديهم `company id` فارغ، وذلك لأن فحص `isCurrentUserHasAccess` لا يتم تطبيقه بشكل متسق أثناء استعلامات API الواسعة والإجراءات الجماعية على الويب. وهذا يسمح بكشف البيانات الشخصية والتراخيص المخصصة عبر نقاط النهاية ’/api/v1/users‘ و ’/api/v1/users/{id}/licenses‘. بالإضافة إلى ذلك، يمكن استخدام نقطة النهاية ’/users/bulkeditsave‘ لتعديل الملفات الشخصية خارج نطاق المستخدم، ويمكن استخدام نقطة النهاية ’/users/merge‘ لنقل الأصول المخصصة وحذف المستخدمين بشكل مؤقت.

توجد مشكلة تسمح لمستخدم مقيد بالحصول على اسم ملف اتفاقية ترخيص المستخدم النهائي (EULA) العشوائي الخاص بمستخدم آخر عن طريق طلب نقطة النهاية ’/api/v1/users/{target id}/eulas‘. وبالتالي، يمكن تنزيل الملف الموقع عبر نقطة النهاية ’/account/stored-eula-file/{filename}‘. يحدث هذا لأن `app/Http/Controllers/ProfileController.php` و`app/Http/Controllers/Api/UsersController.php` لا يفرضان بشكل متسق ملكية الملف وتفويض المستخدم المستهدف، على الرغم من أن المسار الأساسي ’/stored-eula-file/{filename}‘ يرفض الوصول بشكل صحيح.