Vulnerabilidad en Snipe-IT de Grokability, Inc. (CVE-2025-15602)

Gravedad CVSS v4.0:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

06/03/2026

Última modificación:

17/04/2026

Descripción

Las versiones de Snipe-IT anteriores a la 8.3.7 contienen atributos de usuario sensibles relacionados con los privilegios de la cuenta que están insuficientemente protegidos contra la asignación masiva. Un usuario autenticado y con pocos privilegios puede elaborar una solicitud de API maliciosa para modificar campos restringidos de otra cuenta de usuario, incluida la cuenta de Super Administrador. Al cambiar la dirección de correo electrónico del Super Administrador y activar un restablecimiento de contraseña, un atacante puede tomar el control total de la cuenta de Super Administrador, lo que resulta en un control administrativo completo de la instancia de Snipe-IT.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 8.70 ALTA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Alto
Availability (VA): Alto
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

8.70

Gravedad 4.0

ALTA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.80 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto