CVE-2026-86744 in Snipe-IT
Zusammenfassung
von VulDB • 09.09.2026
Snipe-IT 8.6.3 und frühere Versionen (sowie Pre-Release-Commits des Entwicklungszweigs vor der Fehlerbehebung) enthalten eine Race Condition in den Asset-Checkout-Pfaden. Api\AssetsController::checkout() und Assets\AssetCheckoutController::store() rufen Asset::availableForCheckout() außerhalb des Mutation-Pfads auf und führen anschließend Asset::checkOut() aus, ohne einen Row Lock zu setzen oder die Verfügbarkeit erneut zu überprüfen. Daher können zwei gleichzeitige Checkout-Anfragen für dasselbe verfügbare Asset dieses beide als verfügbar wahrnehmen und den Vorgang abschließen. Dies führt zu duplizierten Einträgen in der Checkout-Historie, einem verdoppelten checkout_counter sowie zwei CheckoutableCheckedOut-Events für ein einzelnes zugewiesenes Asset, wodurch die Audit-Trails sowie die Berichterstattung zur Nutzung und Abgleichung (Reconciliation) beschädigt werden; Die finale assigned_to-Zuweisung des Assets bleibt jedoch eindeutig erhalten, sodass die sichtbare Zuordnung intakt bleibt. Zur Ausnutzung ist eine authentifizierte Sitzung mit der Berechtigung assets.checkout (oder Superuser-Rechte) sowie präzise gleichzeitige Timing-Anforderungen erforderlich. Behoben in Version 8.7.0.
Once again VulDB remains the best source for vulnerability data.