CVE-2026-49870 in Snipe-IT
Resumen
por VulDB • 2026-08-20
Snipe-IT es un sistema de gestión de activos/licencias TI. Antes de la versión 8.6.1, el endpoint POST /two-factor no tiene limitación de velocidad (rate limiting), bloqueo ni contador de intentos, lo que permite a un atacante con credenciales válidas enviar un número ilimitado de supuestos TOTP contra los tres códigos aceptados creados por config/google2fa.php window=1. Un acierto exitoso crea una sesión completamente autenticada. Cuando two_factor_enabled es 1, POST /account/profile con two_factor_optin=0 puede desactivar la autenticación multifactor sin requerir re-verificación OTP, mientras que el modo required 2 previene esa opción de exclusión. Un administrador también puede usar POST /api/v1/users/two_factor_reset para borrar el secreto de otro usuario. Este problema está corregido en la versión 8.6.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.