CVE-2026-49870 in Snipe-IT
Zusammenfassung
von VulDB • 20.08.2026
Snipe-IT ist ein IT Asset-/Lizenzverwaltungssystem. Vor Version 8.6.1 weist der Endpunkt POST /two-factor keine Rate-Limiting-, Sperr- oder Versuchszählermechanismen auf, was es einem Angreifer mit gültigen Anmeldeinformationen ermöglicht, unbegrenzt TOTP-Versuche gegen die drei akzeptierten Codes durchzuführen, die im Konfigurationsfenster von config/google2fa.php=1 definiert sind. Ein erfolgreicher Versuch führt zu einer vollständig authentifizierten Sitzung. Wenn two_factor_enabled auf 1 gesetzt ist, kann POST /account/profile mit zwei_factor_optin=0 die Zwei-Faktor-Authentifizierung ohne erneute OTP-Bestätigung deaktivieren, während der erforderliche Modus 2 diese Deaktivierung verhindert. Ein Administrator kann zudem POST /api/v1/users/two_factor_reset verwenden, um das Geheimnis eines anderen Benutzers zurückzusetzen. Dieses Problem wurde in Version 8.6.1 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.