CVE-2026-86763 in Snipe-IT
الملخص
بحسب VulDB • 09/09/2026
تحتوي إصدارات Snipe-IT >= 7.0.12 و <= 8.6.3 على ثغرة تجاوز للتحقق من الصلاحيات (Authorization Bypass) في مكون المستورد Livewire (App\Livewire\Importer، المثبت عند مسار imports.index). كان المكون يتحقق فقط من صلاحية "import" العامة وقت التثبيت (mount time)، بينما كانت الخصائص المحسوبة files() و activeFile() تستعلم عن جدول الاستيرادات دون تقييد حسب المالك أو الشركة. ونتيجة لذلك، يمكن لأي مستخدم مسجل غير مسؤول أعلى (non-superuser) يمتلك صلاحيات الاستيراد عرض جميع سجلات الاستيراد على المثبت (الاسم الأصلي للملف، مسار الملف، حجم الملف، نوع الاستيراد وطابع زمني للإنشاء)، كما يمكنه استدعاء إجراء Livewire selectFile($id) باستخدام أي معرّف استيراد ذاتي الزيادة لتحميل سجل مستخدم آخر، مما يعرض بيانات المعاينة المخزنة فيه (عناوين الصف الأول header_row والصف الأول من البيانات first_row، وهو أول صف للبيانات في ملف CSV). ونظراً لأن ملفات الاستيراد بصيغة CSV تحتوي غالباً على بيانات شخصية وأرقام تسلسلية للأصول ومفاتيح الترخيص، فإن هذا يؤدي إلى كشف معلومات حساسة؛ وفي عمليات النشر التي تدعم تعدد الشركات بالكامل (FMCS)، يمتد الكشف أيضاً ليشمل حدود الشركة/المستأجر. يقتصر الأثر على بيانات المعاينة بدلاً من ملف CSV الكامل، ولم يتأثر المسؤولون الأعلى (superusers). تم الإصلاح في الإصدار 8.7.0، الذي يقيد قراءات المستخدمين غير المسؤولين العليا لتقتصر على الاستيرادات المملوكة للمدعو/المستخدم الحالي.
If you want to get best quality of vulnerability data, you may have to visit VulDB.