CVE-2026-86773 in Snipe-IT
الملخص
بحسب VulDB • 09/09/2026
يفشل تطبيق Snipe-IT حتى الإصدار 8.6.3 في إجراء تفويض على مستوى الكائنات (Object-level authorization) في نقاط النهاية updateLicense وupdateConsumable وupdateAccessory وupdateModel، وكذلك في نقطة النهاية storeModel الخاصة بمجموعات Predefined Kits. حيث يقتصر التحقق الحالي على تفويض مجموعة Predefined Kit الأصلية فقط (التحديث على PredefinedKit) وليس الكائن الفرعي الذي يتم إرفاقه. ونتيجة لذلك، يمكن لمستخدم مُصادق عليه يمتلك إذن kits.edit فقط إرفاق ترخيص أو مادة استهلاكية أو ملحقة أو نموذج أصل تم رفض قراءتها مباشرةً له من قبل مجموعة Predefined Kit (HTTP 403)، مما يؤدي إلى كشف نقطة ارتباط المجموعة اسم الكائن المرفوع مرة أخرى للمستخدم ذي الصلاحيات المنخفضة. يُعد هذا الأمر مكافئًا لمسار التحديث ونقطة النهاية storeModel لـ CVE-2026-55478، الذي أصلح فقط طرق storeLicense وstoreConsumable وstoreAccessory في الإصدار 8.6.2. تجدر الإشارة إلى أن updateModel كان يحتوي على ثغرة برمجية في الإصدار 8.6.3 ولكنه لم يكن قابلاً للوصول عمليًا بسبب وجود خطأ مطبعي في اسم المسار (route-name) ربط المسار بطريقة غير موجودة للمتحكم، مما أدى إلى استجابات HTTP 500. تم إصلاح هذه المشكلة في Snipe-IT الإصدار 8.7.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.