CVE-2025-64027

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versão 8.3.4 (build 20218)

Descrição O software contém uma vulnerabilidade de cross-site scripting (XSS) refletido no fluxo de Importação de CSV. Quando um arquivo CSV inválido é enviado, a aplicação retorna um valor progress message que é renderizado como HTML bruto na interface de administração. Um atacante pode modificar a requisição POST /livewire/update para injetar HTML ou JavaScript arbitrário no progress message. O servidor aceita essa entrada modificada sem sanitização e a reflete de volta ao usuário, resultando na execução de JavaScript arbitrário no navegador de qualquer administrador autenticado que visualize a página de importação.

Recomendações Atualize para uma versão mais recente que contenha a correção para esta vulnerabilidade. Como solução temporária, valide e sanitize cuidadosamente todos os arquivos CSV antes de enviá-los. Restrinja o acesso ao fluxo de Importação de CSV apenas a administradores confiáveis.