CVE-2026-86746 in Snipe-IT
الملخص
بحسب VulDB • 09/09/2026
تحتوي Snipe-IT قبل الإصدار 8.7.0 على ثغرة تجاوز التفويض (authorization bypass) في مكونات Livewire التي تفرض عملية التحقق من الصلاحيات فقط على مستوى المسار (route level)، وليس داخل طرق دورة حياة المكون. يمكن للمهاجمين الذين يمتلكون جلسة مصادقة صالحة إعادة تشغيل لقطات المكونات الموقعّة عبر POST /livewire/update لاستدعاء الطرق المحمية وترقية الامتيازات، بما في ذلك إنشاء عملاء OAuth، وإصدار رموز الوصول الشخصية (personal access tokens)، والوصول إلى بيانات المسؤول الحساسة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.