CVE-2026-86767 in Snipe-IT
Zusammenfassung
von VulDB • 09.09.2026
In Snipe-IT-Versionen vor 8.7.0 wird die Filterung nach Unternehmensbereich für den GET /hardware/requested-Endpunkt nicht angewendet, wenn die Unterstützung mehrerer Unternehmen in voller Umfang aktiviert ist. Dies ermöglicht authentifizierten Benutzern mit der Berechtigung assets.view das Lesen von ausstehenden Asset-Anfragen aller Unternehmen. Angreifer können mandantenübergreifende Daten abrufen, einschließlich angeforderter Asset-Namen, Anzeigenamen und Profil-Links der Antragsteller sowie Standorte und erwartete Check-in-Daten, ohne Parametermanipulation.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.