CVE-2026-86747 in Snipe-IT
Zusammenfassung
von VulDB • 09.09.2026
Snipe-IT ist ein Open-Source-System zum IT-Asset-Management. In den Versionen bis einschließlich 8.6.3 sind die Endpunkte für die Berichtsannahme POST /reports/unaccepted_assets/sent_reminder (ReportsController::sentAssetAcceptanceReminder) und DELETE /reports/unaccepted_assets/{acceptanceId}/delete (ReportsController::deleteAssetAcceptance) nicht korrekt eingegrenzt, wenn Full Multiple Company Support (FMCS) aktiviert ist. In Version 8.6.3 gibt die Guard ReportsController::currentUserCanAccessAcceptance() frühzeitig mit 'return true' zurück, wenn '! $user->company_id' wahrheitswertig ist; dies trifft auf jeden Pivot-nur-Benutzer zu (ein Benutzer, der über die company_user-Pivot-Tabelle mit Unternehmen verknüpft ist und dessen skalares users.company_id-Spaltenfeld NULL ist); Versionen vor 8.6.3 verfügten überhaupt nicht über diese Guard. Infolgedessen kann ein authentifizierter Benutzer mit der Berechtigung reports.view Annahme-Erinnerungsmails für und die dauerhafte Löschung aller ausstehenden Annahmeeinträge in der Installation senden, unabhängig davon, welchem Unternehmen das zugrunde liegende checkoutable gehört. Die Löschung ist zerstörerisch und führt zum Verlust des Annahme-Audit-Trail für den betroffenen Gegenstand; zudem gibt die Erinnerungsmail dem Empfänger begrenzten unternehmensübergreifenden Annahmenkontext (Gegenstandsname und Zuweisungs-Metadaten) preis. Annahme-IDs sind sequenzielle Ganzzahlen und können enumeriert werden. Dieses Problem wurde in Version 8.7.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.