Snipe-IT: Mehrere Schwachstellen
WID-SEC-2026-2981 · erstmals 25.08.2026 · aktualisiert 25.09.2026 · CVSS 9,6
Worum es geht
Snipe-IT ist eine webbasierte Open-Source-Asset-Management-Software, die Unternehmen bei der Verfolgung von Hardware und Software unterstützt. Ein Angreifer kann mehrere Schwachstellen in Snipe-IT ausnutzen, um beliebigen Code auszuführen, erweiterte Berechtigungen zu erlangen, Sicherheitsmaßnahmen zu umgehen, Cross-Site-Scripting-Angriffe zu starten, sensible Informationen offenzulegen, Daten zu manipulieren, Konten zu übernehmen oder Denial-of-Service-Zustände herbeizuführen.
Unter welchen Bedingungen?
Das BSI nennt keine besonderen Voraussetzungen. Laut BSI aus der Ferne ausnutzbar.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- beliebigen Code auszuführen
- erweiterte Berechtigungen zu erlangen
- Sicherheitsmaßnahmen zu umgehen
- Cross-Site-Scripting-Angriffe zu starten
- sensible Informationen offenzulegen
- Daten zu manipulieren
- Konten zu übernehmen oder Denial-of-Service-Zustände herbeizuführen
Bin ich betroffen?
Betroffen sind laut BSI:
- Open Source Snipe-IT <8.7.0
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Open Source Snipe-IT 8.7.0
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- Grokability Snipe-IT Releases vom 2026-08-24 github.com
- GitHub Security Advisory GHSA-2232-926w-qvr9 vom 2026-08-24 github.com
- GitHub Security Advisory GHSA-396x-xmvh-p563 vom 2026-08-24 github.com
- GitHub Security Advisory GHSA-3j84-c68v-g76m vom 2026-08-24 github.com
- GitHub Security Advisory GHSA-4c4h-cpgf-h4qr vom 2026-08-24 github.com
- GitHub Security Advisory GHSA-4cr5-3hw8-8w5f vom 2026-08-24 github.com
- GitHub Security Advisory GHSA-4j5f-mm59-hf9w vom 2026-08-24 github.com
- GitHub Security Advisory GHSA-4vcv-fc5x-jjwv vom 2026-08-24 github.com
- GitHub Security Advisory GHSA-5j6m-rr83-rpj7 vom 2026-08-24 github.com
- GitHub Security Advisory GHSA-5jcj-c9p3-82q7 vom 2026-08-24 github.com
- GitHub Security Advisory GHSA-68hq-m589-8q9j vom 2026-08-24 github.com
- GitHub Security Advisory GHSA-6f4g-phw5-4g77 vom 2026-08-24 github.com
- GitHub Security Advisory GHSA-6g2g-83pc-6365 vom 2026-08-24 github.com
- GitHub Security Advisory GHSA-73xg-j94v-gjcf vom 2026-08-24 github.com
- GitHub Security Advisory GHSA-76pf-qf59-ff3q vom 2026-08-24 github.com
- GitHub Security Advisory GHSA-79jf-ppgj-5cc3 vom 2026-08-24 github.com
- GitHub Security Advisory GHSA-7xrr-xm47-rc6w vom 2026-08-24 github.com
- GitHub Security Advisory GHSA-89q3-jmfm-hvcm vom 2026-08-24 github.com
- GitHub Security Advisory GHSA-c929-qxg6-r3mc vom 2026-08-24 github.com
- GitHub Security Advisory GHSA-cg5w-9662-73vx vom 2026-08-24 github.com
- GitHub Security Advisory GHSA-cj4w-vx6j-42rf vom 2026-08-24 github.com
- GitHub Security Advisory GHSA-f3vq-g24v-xc2g vom 2026-08-24 github.com
- GitHub Security Advisory GHSA-fxm8-w79r-g7wr vom 2026-08-24 github.com
- GitHub Security Advisory GHSA-gq7g-hxjg-8j27 vom 2026-08-24 github.com
- GitHub Security Advisory GHSA-h543-58f9-v6mj vom 2026-08-24 github.com
und 22 weitere Quellen in der Originalmeldung
CVE: CVE-2026-62368, CVE-2026-63493, CVE-2026-63498, CVE-2026-84206, CVE-2026-86733, CVE-2026-86734, CVE-2026-86735, CVE-2026-86736, CVE-2026-86737, CVE-2026-86738, CVE-2026-86739, CVE-2026-86740, CVE-2026-86741, CVE-2026-86742, CVE-2026-86743, CVE-2026-86744, CVE-2026-86745, CVE-2026-86746, CVE-2026-86747, CVE-2026-86748 …
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.