CVE-2026-86733 in Snipe-IT
Zusammenfassung
von VulDB • 08.09.2026
Snipe-IT vor der Version 8.7.0 streamt den SQL-Eintrag aus einem hochgeladenen Backup-Archiv direkt in die MySQL/MariaDB-Befehlszeilenschnittstelle (`mysql`), ohne das Flag `--binary-mode`. Dadurch interpretiert der Client Zeilen, die mit Backslash-Befehlen wie `\!` beginnen, als lokale Shell-Befehle. Ein authentifizierter Superadministrator kann durch Hochladen eines manipulierten ZIP-Backups (POST /admin/backups/upload) und Auslösen einer Wiederherstellung (POST /admin/backups/restore/{filename}) ohne den optionalen Parameter `clean` zur Bereinigung – der standardmäßig nicht angewendet wird, da DB_SANITIZE_BY_DEFAULT auf false gesetzt ist – beliebige OS-Befehle als Benutzer des Betriebssystems ausführen, unter dem die Webanwendung läuft. Dies führt zur Offenlegung von Anwendungsdetails (einschließlich Datenbankzugangsdaten und APP_KEY) sowie zur Möglichkeit der Änderung an application-schreibbaren Dateien und Daten. Mit Version 8.7.0 wird das Flag `--binary-mode` bei der Client-Aufrufmethode hinzugefügt.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.