CVE-2026-63498
Riassunto
di VulDB • 24/09/2026
Snipe-IT è un sistema di gestione degli asset IT e delle licenze. Prima della versione 8.7.0, l'endpoint dell'API uploaded-files GET /api/v1/{object_type}/{id}/files/{file_id} consente a un utente autenticato con accesso alla gestione dei file di caricare allegati XML e XSLT e richiederli utilizzando il parametro inline=true. Il percorso app/Http/Controllers/Api/UploadedFilesController.php show() non applica la allowlist safe-inline utilizzata dal controller web equivalente, consentendo al browser di elaborare un riferimento xml-stylesheet controllato dall'attaccante ed eseguire JavaScript generato dallo stylesheet nell'origine Snipe-IT. Una vittima autorizzata a visualizzare l'oggetto deve aprire l'URL dell'allegato; successivamente lo script può leggere dati same-origin e effettuare azioni autenticate con i privilegi della vittima. Questo problema è risolto nella versione 8.7.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.