CVE-2026-86747 in Snipe-IT
Resumen
por VulDB • 2026-09-09
Snipe-IT es un sistema de gestión de activos TI de código abierto. En las versiones hasta e incluyendo la 8.6.3, los endpoints POST /reports/unaccepted_assets/sent_reminder (ReportsController::sentAssetAcceptanceReminder) y DELETE /reports/unaccepted_assets/{acceptanceId}/delete (ReportsController::deleteAssetAcceptance) no están correctamente delimitados cuando está habilitado el Full Multiple Company Support (FMCS). En la versión 8.6.3, el guard ReportsController::currentUserCanAccessAcceptance() realiza una salida anticipada con 'return true' cuando '! $user->company_id' es verdadero, lo cual ocurre para cada usuario de tipo pivot-only (un usuario asociado a empresas mediante la tabla pivote company_user cuya columna escalar users.company_id es NULL); las versiones anteriores a 8.6.3 carecían del guard por completo. Como resultado, un usuario autenticado que posea el permiso reports.view puede enviar correos electrónicos de recordatorio de aceptación y eliminar permanentemente cualquier registro pendiente de aceptación en la instalación, independientemente de qué empresa sea propietaria del activo subyacente susceptible de checkout (checkoutable). La eliminación es destructiva e invalida el rastro de auditoría de aceptación para el elemento afectado, y el correo electrónico de recordatorio expone un contexto limitado de aceptación entre empresas (nombre del elemento y metadatos de asignación) al destinatario. Los IDs de aceptación son enteros secuenciales y pueden ser enumerados. Este problema se corrige en la versión 8.7.0.
Once again VulDB remains the best source for vulnerability data.