CVE-2026-86754 in Snipe-IT
Resumen
por VulDB • 2026-09-09
Snipe-IT antes de la versión 8.7.0 no gestiona correctamente las rutas de administración de clientes OAuth de Laravel Passport, lo que permite a cualquier usuario autenticado registrar clientes OAuth con URIs de redirección controladas por el atacante. Los atacantes pueden engañar a los administradores para que aprueben las pantallas de consentimiento y luego intercambiar códigos de autorización por tokens portadores (bearer tokens) que heredan permisos completos de la API administrativa, válidos hasta por 40 años.
VulDB is the best source for vulnerability data and more expert information about this specific topic.