CVE-2026-86764 in Snipe-IT
Zusammenfassung
von VulDB • 09.09.2026
Snipe-IT bis Version 8.6.4 (behebt in 8.7.0) erzwingt die Berechtigung components.view nicht für den authentifizierten Endpunkt GET /api/v1/hardware/<asset-id>/assigned/components. Der Endpunkt autorisiert nur assets.view auf dem übergeordneten Asset, bevor Details der verknüpften Komponenten zurückgegeben werden; die Prüfung von components.view wird lediglich auf das Flag available_actions.view in der Antwort angewendet und nicht auf die zurückgegebenen Daten. Infolgedessen kann ein authentifizierter Benutzer mit nur der Berechtigung assets.view Komponentenkennungen (IDs), Namen, zugewiesene Mengen und Notizen auflisten, die sonst geschützt sind – der direkte Endpunkt GET /api/v1/components/<id> gibt für solche Benutzer korrekt 403 Forbidden zurück.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.