Snipe-IT 8.7.0 verhelpt omzeiling van tweestapsverificatie en twee stored XSS-kwetsbaarheden

Drie kwetsbaarheden tegelijk bekendgemaakt en verholpen

Op dezelfde dag zijn drie advisories gepubliceerd voor Snipe-IT, die alle drie versies vóór 8.7.0 treffen en in 8.7.0 zijn opgelost: 1. CVE-2026-63493 (CWE-288, omzeiling van authenticatie via een alternatief kanaal): een gebruiker die al met wachtwoord is geauthenticeerd en over de self.api-rechten beschikt, kan de API-flow voor personal-access-tokens bereiken vóórdat de tweede-factor-controle is voltooid. Dit komt doordat de CheckForTwoFactor-controle wél wordt afgedwongen in de webmiddleware, maar niet in de API-middleware. 2. CVE-2026-62368 (CWE-79, stored cross-site scripting): een gebruiker met de rechten customfields.create kan markup opslaan in de naam van een aangepast veld. Deze waarde wordt in app/Presenters/AssetPresenter.php ongefilterd weergegeven als kolomtitel in een bootstrap-tabel, waardoor de code wordt uitgevoerd zodra een andere gebruiker een bijbehorende assetlijst bekijkt. 3. CVE-2026-63498 (CWE-79, stored cross-site scripting): een geauthenticeerde gebruiker met rechten voor bestandsbeheer kan XML/XSLT-bijlagen uploaden en deze opvragen via de parameter inline=true op het API-eindpunt voor geüploade bestanden. De API-controller past niet dezelfde 'safe-inline'-allowlist toe als de vergelijkbare webcontroller, waardoor een door de aanvaller gecontroleerde xml-stylesheet-referentie JavaScript kan uitvoeren binnen de oorsprong van Snipe-IT zodra een slachtoffer de bijlage-URL opent.

Technische oorzaken

CVE-2026-63493 komt voort uit een inconsistentie tussen middlewaregroepen: de tweestapsverificatie-controle (CheckForTwoFactor) wordt wel toegepast op webroutes, maar niet op API-routes. Hierdoor kan via de API een personal-access-token worden aangemaakt vóórdat de tweede factor is voltooid. Dit token start geen websessie, maar geeft wel brede API-toegang binnen de rechten van het slachtoffer, en bij een beheerdersaccount kan het token het eindpunt users/two_factor_reset bereiken, waarmee een aanvaller de ingestelde tweede factor van de beheerder kan resetten en een eigen factor kan registreren. CVE-2026-62368 is het gevolg van ongefilterde output: waarden van CustomField.name worden opgeslagen en later direct, zonder sanitatie, weergegeven als kolomtitel in een bootstrap-tabel. Hierdoor kan opgeslagen markup worden uitgevoerd in de browser van elke gebruiker die een assetlijst met dat veld bekijkt. CVE-2026-63498 is het gevolg van een inconsistentie tussen controllers: de show()-methode van de API's UploadedFilesController past niet dezelfde 'safe-inline'-allowlist toe die de webcontroller gebruikt bij het serveren van bestanden met inline=true. Hierdoor kunnen XML/XSLT-bijlagen via een xml-stylesheet-referentie scriptuitvoering in de browser veroorzaken.

Waarom dit relevant is

CVE-2026-63493 kan leiden tot volledige overname van een beheerdersaccount: een aanvaller die al over het wachtwoord van een beheerder beschikt (maar nog niet over de tweede factor), kan via de API de ingestelde 2FA-methode van de beheerder resetten, een eigen factor registreren en de rechtmatige beheerder buitensluiten, terwijl diens browsersessie vastzit op het tweestapsverificatie-scherm. De twee XSS-kwetsbaarheden (CVE-2026-62368 en CVE-2026-63498) maken het mogelijk om door een aanvaller gecontroleerde code uit te voeren in de geauthenticeerde sessie van een andere gebruiker, waardoor gegevens binnen dezelfde oorsprong kunnen worden blootgesteld en acties kunnen worden uitgevoerd met de rechten van die gebruiker. Bij CVE-2026-62368 vermeldt de advisory expliciet dat dit kan leiden tot escalatie van rechten wanneer een superuser de betreffende assetlijst bekijkt.

Wie wordt getroffen

Organisaties die Snipe-IT vóór versie 8.7.0 gebruiken, zijn getroffen. Voor CVE-2026-63493 moet een aanvaller al beschikken over geldige wachtwoordgegevens van een account met self.api-rechten. Voor CVE-2026-62368 moet een gebruiker met customfields.create-rechten het kwaadaardige veld aanmaken, waarna elke gebruiker (inclusief een superuser) die een getroffen assetlijst bekijkt, risico loopt. Voor CVE-2026-63498 moet een geauthenticeerde gebruiker met rechten voor bestandsbeheer de kwaadaardige bijlage uploaden, waarna elke gebruiker die bevoegd is het object te bekijken en de bijlage-URL opent, risico loopt.

Getroffen en verholpen versies

Alle drie de kwetsbaarheden treffen snipe/snipe-it-versies vóór 8.7.0. Alle drie zijn verholpen in versie 8.7.0.

Update beschikbaar

Snipe-IT 8.7.0 lost alle drie de kwetsbaarheden op. Het beschikbare feitenpakket beschrijft geen tijdelijke mitigaties of workarounds voor installaties die niet direct kunnen updaten.

Aanbevolen actie

Update Snipe-IT zo snel mogelijk naar versie 8.7.0. Gezien de combinatie van een pad van 2FA-omzeiling naar overname van een beheerdersaccount en twee stored XSS-kwetsbaarheden die door geauthenticeerde gebruikers kunnen worden bereikt, is het raadzaam deze update prioriteit te geven. Controleer na het updaten ook definities van aangepaste velden en geüploade bijlagen op onverwachte of verdachte inhoud die mogelijk vóór de update is geïntroduceerd.