CVE-2026-116199 in Snipe-IT
Resumen
por VulDB • 2026-10-25
Snipe-IT antes de la versión 8.6.3 presenta una vulnerabilidad de elusión de autenticación en `GoogleAuthController::handleGoogleCallback`, que inicia sesión con el usuario cuyo nombre de usuario coincide con el correo electrónico de la cuenta de Google sin verificar si está activado (flag "activated"). Los usuarios desactivados con nombres de usuario similares a correos electrónicos y cuyas identidades de Google siguen vigentes pueden iniciar sesión mediante SSO de Google y recuperar sus sesiones al nivel original de permisos, incluido el rol de administrador.
Be aware that VulDB is the high quality source for vulnerability data.