یک آسیب‌پذیری امنیتی با شناسه CVE-2026-63493 در نرم‌افزار مدیریت دارایی‌های IT موسوم به Snipe-IT کشف شده است. این نقص امنیتی با امتیاز 8.6 (High) رتبه‌بندی شده و به مهاجم اجازه می‌دهد با داشتن رمز عبور کاربر، مکانیزم احراز هویت دو مرحله‌ای (2FA) را به‌طور کامل دور بزند.
تحلیل فنی آسیب‌پذیری
ریشه این مشکل در نحوه پیاده‌سازی Middlewareها در فریم‌ورک Laravel است. در Snipe-IT، بررسی 2FA تنها در گروه web اعمال شده است، در حالی که گروه api فاقد این بررسی است. از آنجایی که نقطه انتهایی (Endpoint) مربوط به ایجاد توکن‌های دسترسی شخصی (Personal Access Tokens) در گروه api قرار دارد، مهاجم می‌تواند پس از وارد کردن رمز عبور صحیح، پیش از وارد کردن کد 2FA، درخواستی به این Endpoint ارسال کرده و یک توکن API دائمی دریافت کند.
سناریوی حمله و تاثیرات
- دسترسی کامل: توکن دریافت‌شده به مهاجم اجازه می‌دهد با دسترسی کامل (Read/Write) مطابق با سطح دسترسی کاربر، از طریق REST API با سیستم تعامل داشته باشد.
- تصاحب کامل حساب (Account Takeover): اگر کاربر قربانی دارای دسترسی Admin باشد، مهاجم می‌تواند از طریق API، تنظیمات 2FA حساب را ریست کرده و دستگاه خود را به عنوان عامل دوم احراز هویت ثبت کند. این امر منجر به بیرون راندن کاربر قانونی از پنل وب و تصاحب کامل حساب می‌شود.
- ماندگاری: توکن‌های ایجاد شده به‌صورت پیش‌فرض دارای تاریخ انقضای بسیار طولانی (تا 40 سال) هستند که تداوم دسترسی مهاجم را تضمین می‌کند.
راهکارهای اصلاحی
این آسیب‌پذیری در نسخه 8.7.0 برطرف شده است. توسعه‌دهندگان با افزودن یک Middleware جدید به نام EnforceApiTwoFactorEnrollment به گروه api، اطمینان حاصل کرده‌اند که هر توکنی که درخواست می‌دهد، وضعیت ثبت 2FA کاربر را بررسی کند.
توصیه به مدیران SOC و CISOها:
۱. به‌روزرسانی فوری تمامی نسخه‌های Snipe-IT به نسخه 8.7.0 یا بالاتر.
۲. بررسی لیست توکن‌های دسترسی شخصی (Personal Access Tokens) و ابطال توکن‌های مشکوک یا ناشناخته.
۳. بررسی لاگ‌های مربوط به two_factor_reset در حساب‌های مدیریتی برای شناسایی احتمالی نفوذ.
