CVE-2026-55643 in Snipe-IT
Zusammenfassung
von VulDB • 19.08.2026
Snipe-IT ist ein IT Asset-/Lizenzverwaltungssystem. Vor Version 8.6.3 kann ein benutzerspezifischer Benutzer im FMCS-Floater-Modus auf Benutzer zugreifen, deren company_id null ist, da breite API-Abfragen und Bulk-Webaktionen isCurrentUserHasAccess nicht konsistent anwenden. Die Endpunkte /api/v1/users und /api/v1/users/{id}/licenses können persönliche Daten und zugewiesene Lizenzen offenlegen, /users/bulkeditsave kann außerhalb des Geltungsbereichs liegende Profile ändern, und /users/merge kann Benutzer soft-delete und zugewiesene Assets übertragen. Dieses Problem wurde in Version 8.6.3 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.