PT-2026-23723
CVE-2025-15602
·
تاريخ النشر
2026-03-06
·
تاريخ التحديث
2026-10-08
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Snipe-IT الأقدم من 8.3.7
الوصف
تتعرض مثيلات Snipe-IT التي تعمل بإصدارات أقدم من 8.3.7 لخطر التعديل غير المصرح به لتفاصيل حسابات المستخدمين، وذلك بسبب الحماية غير الكافية للسمات الحساسة للمستخدمين ضد التخصيص الجماعي. يمكن لمستخدم مصدق عليه يتمتع بامتيازات منخفضة إنشاء طلب ضار إلى واجهة برمجة التطبيقات (API) لتعديل الحقول المقيدة لحسابات مستخدمين آخرين، بما في ذلك حساب «المسؤول الأعلى». وعلى وجه التحديد، يمكن للمهاجم تغيير عنوان البريد الإلكتروني المرتبط بحساب «المسؤول الأعلى» وبدء عملية إعادة تعيين كلمة المرور، مما يؤدي إلى السيطرة الإدارية الكاملة على مثيل Snipe-IT. تسمح واجهة برمجة التطبيقات (API) المعرضة للخطر بتعديل سمات المستخدم من خلال ثغرة أمنية تتعلق بالتعيين الجماعي. وتعتبر السمة
email معرضة بشكل خاص لهذا التلاعب.التوصيات
قم بتحديث Snipe-IT إلى الإصدار 8.3.7 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾