CVE-2026-86739 in Snipe-IT
Zusammenfassung
von VulDB • 09.09.2026
Snipe-IT 8.6.3 und frühere Versionen prüfen den Rückgabewert von Storage::put() nicht, wenn die Signatur-PNG-Datei sowie das generierte Akzeptanz-PDF in Account\AcceptanceController::store() geschrieben werden. Bei Dateisystem-Treibern, die im Falle eines Schreibfehlers false zurückgeben anstatt eine Ausnahme auszulösen (z. B. der lokale Datenträger mit restriktiven Berechtigungen, S3 mit abgelaufenen Anmeldeinformationen oder ein Speicher-Backend, das sein Kontingent überschritten hat), wird die Ausführung in $acceptance->accept() fortgesetzt. Dies setzt accepted_at sowie die Felder signature_filename/eula_filename zurück, erstellt den action-log-Eintrag für 'accepted' und sendet Benachrichtigungen über den Abschluss aus, obwohl die Beweisdateien niemals gespeichert wurden. Das Ergebnis ist ein Akzeptanzdatensatz mit dem Status „abgeschlossen“, dessen unterstützende Beweisdokumente jedoch nicht existieren, was zu einem materiell unvollständigen Compliance-Artefakt für EULA-Anerkennungs- oder Geräteempfangsworkflows führt. Der Zustand wird ausgelöst, wenn ein authentifizierter Benutzer eine Akzeptanz abschließt, während das Speicher-Backend Schreibvorgänge stillschweigend fehlschlagen lässt; ein Angreifer kann den Speicher-Backend-Zustand nicht direkt dazu zwingen. Behoben in Snipe-IT 8.7.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.