CVE-2026-86750 in Snipe-IT
الملخص
بحسب VulDB • 09/09/2026
لا تقوم إصدارات Snipe-IT التي تساوي أو تقل عن 8.6.3 (تم إصلاحها في الإصدار 8.7.0) بالتحقق من تفويض تعيين الشركة قبل حفظ سجلات المستخدمين عبر واجهة برمجة التطبيقات REST. في الدالتين `Api\UsersController::store()` و`::update()`، يتم ملء سجل المستخدم بناءً على الطلب وحفظه قبل تصفية قيم `company_id` / `company_ids[]` المطلوبة مقابل الشركات المسموح بها للمستخدم الحالي (عبر `Company::getIdsForCurrentUser()`). في التثبيتات التي تستخدم دعم الشركات المتعددة الكامل (FMCS)، يمكن لمستخدم غير مسؤول يمتلك صلاحية `users.create` (أو `users.edit` على مستخدم هدف) تقديم معرفات شركات خارج نطاق صلاحياته — بما في ذلك مزيج من المعرفات المسموح بها والأجنبية — مما يؤدي إلى حفظ صف الحساب في قاعدة البيانات قبل التحقق من التفويض. حيث يكون الإعداد `null_company_is_floater=1` مفعلاً، يترك الفلترة اللاحقة محور شركة فارغًا ويتم تثبيت الحساب كـ "عائم" (floater) يتمتع برؤية عبر الشركات، مما يتيح إنشاء أو نقل حسابات المستخدمين عبر حدود المستأجرين (tenants).
If you want to get best quality of vulnerability data, you may have to visit VulDB.