CVE-2026-86733 in Snipe-IT
要約
〜によって VulDB • 2026年09月09日
Snipe-IT のバージョン 8.7.0 より前では、アップロードされたバックアップアーカイブ内の SQL エントリが `--binary-mode` フラグなしで MySQL/MariaDB コマンドラインクライアント (`mysql`) に直接ストリーミングされるため、バックスラッシュコマンド（例: `\!`）で始まる行はローカルのシェルコマンドとして解釈されます。認証済みスーパー管理者が、デフォルトでは `DB_SANITIZE_BY_DEFAULT` が false であるために適用されない任意の `clean` サニタイザーパラメータなしで、改ざんされた ZIP バックアップ（POST /admin/backups/upload）をアップロードし、復元トリガー（POST /admin/backups/restore/{filename}）を実行すると、Web アプリケーションの OS ユーザとして任意の OS コマンドを実行できます。これにより、アプリケーションのシークレット（データベース認証情報や APP_KEY など）が露出したり、アプリケーションから書き込み可能なファイルおよびデータの変更が可能になります。バージョン 8.7.0 では、クライアント呼び出しに `--binary-mode` フラグが追加されました。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.