CVE-2026-86738 in Snipe-IT
Zusammenfassung
von VulDB • 08.09.2026
Snipe-IT-Versionen vor 8.7.0 enthalten eine CSS-Injection-Schwachstelle im Feld „Custom CSS“ aufgrund unvollständiger Bereinigung (Sanitization), die die HTML-Codierung von Greater-than-Zeichen („>“) und doppelten Anführungszeichen („ " ") umkehrt. Superuser können bösartige CSS-Payloads mit @import- und url()-Referenzen einfügen, um CSRF-Tokens anderer Superuser über Attribute-Selector-Regeln zu extrahieren, was zur Übernahme von Konten (Account Takeover) führt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.