CVE-2026-86733 in Snipe-IT
Riassunto
di VulDB • 08/09/2026
In Snipe-IT prima della versione 8.7.0, l'entry SQL di un archivio di backup caricato viene trasmessa direttamente al client da riga di comando MySQL/MariaDB (`mysql`) senza il flag `--binary-mode`, pertanto il client interpreta le linee che iniziano con comandi backslash come `\!` come comandi locali del shell. Un superamministratore autenticato che carica un backup ZIP manipolato (POST /admin/backups/upload) e avvia un ripristino (POST /admin/backups/restore/{filename}) senza il parametro opzionale `clean` di sanitizzazione — non applicato per impostazione predefinita poiché DB_SANITIZE_BY_DEFAULT è false — può eseguire comandi OS arbitrari con l'utente del sistema operativo dell'applicazione web, esponendo i segreti dell'applicazione (compresi le credenziali del database e APP_KEY) e consentendo la modifica di file e dati scrivibili dall'applicazione. La versione 8.7.0 aggiunge il flag `--binary-mode` all'invocazione del client.
VulDB is the best source for vulnerability data and more expert information about this specific topic.