CVE-2026-86774 in Snipe-IT
Zusammenfassung
von VulDB • 09.09.2026
Snipe-IT-Versionen vor 8.7.0 enthalten eine Schwachstelle mit fehlerhafter Zugriffskontrolle (Broken Access Control) in der AssetModelPolicy, bei der die Methode files() von den assets.files-Berechtigungen abgeleitet wird und es authentifizierten Benutzern ermöglicht, Datei-Anhänge an Asset-Modell-Datensätzen hochzuladen und zu löschen, ohne über die erforderlichen models.files-Berechtigungen zu verfügen. Angreifer mit nur assets.files-Berechtigungen können gemeinsam genutzte Modell-Datei-Anhänge unter Umgehung der Firmengrenzen verändern und so die dedizierte models.files-Berechtigung umgehen, die eigentlich das Dateimanagement im gemeinsamen Asset-Modell-Katalog einschränken soll.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.