- Yama var
- Son 7 gün
- CWE-311
CVE-2026-116198
Snipe-IT'te API üzerinden varlık oluşturmada şifreleme eksikliği
- Yayımlandı
- Güncellendi
- 25 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Snipe-IT'nin 8.7.0 öncesi sürümleri, Api\AssetsController::store fonksiyonunda şifreleme eksikliği içerir. Bu durum, çağıran kullanıcıda assets.view.encrypted_custom_fields yetkisi bulunmadığında, şifreli olarak işaretlenmiş özel alan sütunlarına düz metin yazılmasına neden olur. Bu yetkiye sahip olmayan kimlik doğrulamalı API kullanıcıları, hassas özel alan değerlerinin veritabanında şifrelenmeden saklandığı varlıklar oluşturabilir. Bu değerler yedeklemeler, kopyalar veya doğrudan veritabanı erişimi yoluyla açığa çıkabilir.
Kaynaktaki açıklama (İngilizce)
Snipe-IT before 8.7.0 contains a missing encryption vulnerability in Api\AssetsController::store that writes plaintext into encrypted-flagged custom-field columns when callers lack assets.view.encrypted_custom_fields. Authenticated API users without that permission can create assets whose sensitive custom-field values persist unencrypted in the database, exposing them through backups, replicas, or direct database access.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| grokability snipe-it | < 8.7.0 | 8.7.0 |
| 8.7.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.