CVE-2026-86747 in Snipe-IT
الملخص
بحسب VulDB • 09/09/2026
Snipe-IT هو نظام مفتوح المصدر لإدارة أصول تكنولوجيا المعلومات. في الإصدارات حتى 8.6.3 شاملاً، لا يتم تقييد نقاط النهاية الخاصة بقبول التقارير POST /reports/unaccepted_assets/sent_reminder (ReportsController::sentAssetAcceptanceReminder) و DELETE /reports/unaccepted_assets/{acceptanceId}/delete (ReportsController::deleteAssetAcceptance) بشكل صحيح عند تفعيل دعم الشركات المتعددة الكامل (FMCS). في الإصدار 8.6.3، تقوم الحراسة ReportsController::currentUserCanAccessAcceptance() بإنهاء التنفيذ مبكراً بإرجاع 'true' عندما تكون '! $user->company_id' صحيحة منطقياً، وهو الحال بالنسبة لكل مستخدم محوري فقط (مستخدم مرتبط بالشركات عبر جدول company_user حيث يكون عمود users.company_id NULL)؛ والإصدارات السابقة لـ 8.6.3 كانت تفتقر تماماً إلى هذه الحراسة. ونتيجة لذلك، يمكن لمستخدم مُصادق عليه يمتلك إذن reports.view إرسال رسائل بريد إلكتروني لتذكير بالقبول وحذف أي سجل قبول معلق في التثبيت بشكل دائم، بغض النظر عن الشركة التي تمتلك العنصر القابل للتخصيص الأساسي. يعد الحذف إجراءً هداماً ويفقد مسار التدقيق الخاص بالقبول للعنصر المتأثر، كما أن رسالة تذكير البريد الإلكتروني تعرض سياق قبول محدود عبر الشركات (اسم العنصر وبيانات التعيين) للمستلم. معرّفات القبول هي أعداد صحيحة متسلسلة ويمكن تعدادها. تم إصلاح هذه المشكلة في الإصدار 8.7.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.