CVE-2026-55694 in Snipe-IT
Zusammenfassung
von VulDB • 20.08.2026
Snipe-IT ist ein IT Asset-/Lizenzverwaltungssystem. Vor Version 8.6.3 kann ein eingeschränkter Benutzer /api/v1/users/{target_id}/eulas anfordern, um den zufälligen EULA-Dateinamen eines anderen Benutzers zu erhalten und dann die signierte Datei über /account/stored-eula-file/{filename} herunterzuladen. Der primäre Endpunkt /stored-eula-file/{filename} verweigert den Zugriff korrekt, aber app/Http/Controllers/ProfileController.php und app/Http/Controllers/Api/UsersController.php erzwingen die Eigentums- und Zielbenutzer-Autorisierung nicht konsistent. Dieses Problem wurde in Version 8.6.3 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.