Rajib-Mahmud

Um usuário autenticado com acesso ao gerenciamento de arquivos pode fazer o upload de anexos XML e XSLT (Extensible Stylesheet Language Transformations) maliciosos. O endpoint da API 'GET /api/v1/{object type}/{id}/files/{file id}' não aplica uma lista de permissões safe-inline quando o parâmetro `inline` é definido como `true`. Isso permite que o navegador processe uma referência de xml-stylesheet controlada por um invasor, levando à execução de JavaScript arbitrário na origem do Snipe-IT. Se uma vítima autorizada abrir a URL do anexo, o script poderá ler dados de mesma origem e realizar ações autenticadas usando os privilégios da vítima, podendo levar ao comprometimento de contas administrativas e exposição de informações sensíveis de ativos, usuários e licenças.

Existe uma falha de bypass de autorização na funcionalidade de exclusão em massa. Este problema permite que usuários restritos realizem a exclusão lógica (soft-delete) de usuários fora de seu escopo autorizado ao incluir IDs de usuários não autorizados em solicitações de exclusão em massa, permitindo a modificação ou desativação de contas que não deveriam acessar.

Existe uma falha de bypass de autorização no endpoint de coleta de folhas de ponto da API REST. O sistema falha ao aplicar os controles de acesso de atividade-equipe, permitindo que usuários com a permissão `view other timesheet` listem folhas de ponto associadas a atividades restritas a equipes das quais não fazem parte, ignorando o isolamento de dados pretendido.

Existe um problema onde um usuário com escopo de empresa no modo FMCS floater pode acessar usuários cujo `company id` seja nulo, pois a verificação `isCurrentUserHasAccess` não é aplicada consistentemente em consultas amplas de API e ações web em massa. Isso permite a exposição de dados pessoais e licenças atribuídas através dos endpoints '/api/v1/users' e '/api/v1/users/{id}/licenses'. Além disso, o endpoint '/users/bulkeditsave' pode ser utilizado para modificar perfis fora do escopo do usuário, e o endpoint '/users/merge' pode ser utilizado para transferir ativos atribuídos e excluir logicamente usuários.

Existe um problema onde um usuário restrito pode obter o nome de arquivo EULA randomizado de outro usuário ao solicitar o endpoint '/api/v1/users/{target id}/eulas'. Subsequentemente, o arquivo assinado pode ser baixado através do endpoint '/account/stored-eula-file/{filename}'. Isso ocorre porque `app/Http/Controllers/ProfileController.php` e `app/Http/Controllers/Api/UsersController.php` não aplicam consistentemente a autorização de propriedade e de usuário-alvo, apesar de a rota primária '/stored-eula-file/{filename}' negar o acesso corretamente.