CVE-2026-86772 in Snipe-IT
الملخص
بحسب VulDB • 09/09/2026
تحتوي إصدارات Snipe-IT السابقة للإصدار 8.7.0 على ثغرة تخزين البرمجة عبر المواقع (Stored Cross-Site Scripting) في الدالة `DepartmentPresenter::formattedNameLink()`، حيث يتم عرض أسماء الأقسام دون تهريب (unescaped) في الفرع الاحتياطي للمستخدمين الذين لا يملكون إذن `departments.view`. يمكن للمستخدمين الحاصلين على إذن `departments.edit` حقن نصوص برمجية ضارة ضمن أسماء الأقسام التي تُنفَّذ في متصفحات جميع أعضاء القسم عند تحميل صفحة "أصولي" (My Assets) الخاصة بهم.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.