FICHE CVE
CVE-2022-1155
Publiée le 2022-03-30 · Dernière modification le 2026-06-17
🇫🇷 EN BREF
Le logiciel de gestion d'actifs Snipe-IT (versions antérieures à 5.3.10) ne parvient pas à invalider les sessions actives existantes lorsqu'un accès utilisateur est désactivé. Un attaquant disposant d'une session valide préalablement établie peut continuer à accéder au système et effectuer des actions limitées, malgré la désactivation de son compte. Cette opération est facile à exécuter via un réseau, bien qu'elle nécessite que l'attaquant ait déjà possédé des identifiants légitimes de bas niveau.
DÉTAIL DU VECTEUR CVSS
Vecteur d'attaqueRéseau
Complexité d'attaqueFaible
Privilèges requisFaibles
Interaction utilisateurAucune
PortéeModifiée
Impact sur la confidentialitéFaible
Impact sur l'intégritéFaible
Impact sur la disponibilitéFaible
RÉFÉRENCES
Description officielle du NVD (en anglais)
Old sessions are not blocked by the login enable function. in GitHub repository snipe/snipe-it prior to 5.3.10.