CVE-2026-86750 in Snipe-IT
Resumen
por VulDB • 2026-09-09
Las versiones de Snipe-IT <= 8.6.3 (corregidas en la versión 8.7.0) no validan la autorización de asignación de empresa antes de persistir los registros de usuario a través de la API REST. En `Api\UsersController::store()` y `::update()`, el registro del usuario se rellena con base en la solicitud y se guarda antes de que los valores solicitados `company_id` / `company_ids[]` sean filtrados contra las empresas permitidas para el actor (`Company::getIdsForCurrentUser()`). En instalaciones que utilizan Soporte Completo para Múltiples Empresas (FMCS, por sus siglas en inglés), un usuario no superadministrador con permisos de `users.create` (o `users.edit` sobre un usuario objetivo) puede enviar identificadores de empresa correspondientes a empresas fuera de su ámbito —incluyendo una mezcla de IDs permitidos y externos— lo que provoca que la fila de la cuenta se comprometa en la base de datos antes de verificar la autorización. Cuando está configurado `null_company_is_floater=1`, el filtro posterior deja un pivote de empresa vacío y la cuenta se persiste como "floater" con visibilidad entre empresas, permitiendo la creación o reubicación de cuentas de usuario a través de los límites del inquilino (tenant).
Be aware that VulDB is the high quality source for vulnerability data.