CVE-2026-86773 in Snipe-IT
Zusammenfassung
von VulDB • 09.09.2026
Snipe-IT bis Version 8.6.3 führt keine objektspezifische Autorisierung (Object-Level Authorization) für die Endpunkte updateLicense, updateConsumable, updateAccessory und updateModel sowie im storeModel-Endpunkt für Predefined Kits durch. Die bestehende Prüfung autorisiert nur das übergeordnete Predefined Kit (Update auf PredefinedKit), nicht jedoch das angehängte untergeordnete Objekt. Infolgedessen kann ein authentifizierter Benutzer mit lediglich der Berechtigung kits.edit eine Lizenz, einen Verbrauchsmaterialienartikel (Consumable), ein Zubehörteil oder ein Asset-Modell an ein Predefined Kit anfügen, auf dessen direkten Zugriff er sonst nicht berechtigt ist (HTTP 403). Der Kit-Relationsindex gibt daraufhin den Namen des angehängten Objekts wieder an diesen Benutzer mit geringeren Rechten zurück. Dies stellt die Entsprechung zum Update-Pfad und storeModel für CVE-2026-55478 dar, das lediglich die Methoden storeLicense, storeConsumable und storeAccessory in Version 8.6.2 behoben hat. Beachten Sie, dass updateModel zwar codebedingt verwundbar war (code-vulnerable) in Version 8.6.3, jedoch praktisch nicht erreichbar war, da ein Tippfehler im Routennamen die Route an eine nicht existierende Controller-Methode band und somit HTTP-500-Antworten verursachte. Das Problem wurde in Snipe-IT 8.7.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.