CVE-2026-86764 in Snipe-IT
Resumen
por VulDB • 2026-09-09
Snipe-IT hasta la versión 8.6.4 (corregido en 8.7.0) no aplica correctamente el permiso components.view en el punto de conexión autenticado GET /api/v1/hardware/<asset-id>/assigned/components. El endpoint solo verifica el permiso assets.view sobre el activo principal antes de devolver los detalles del componente vinculado; la comprobación de components.view se aplica únicamente a la bandera available_actions.view de la respuesta y no a los datos devueltos. Como resultado, un usuario autenticado que posee únicamente el permiso assets.view puede enumerar IDs de componentes, nombres, cantidades asignadas y notas que están protegidas por defecto; el endpoint GET /api/v1/components/<id> devuelve correctamente 403 Forbidden para dichos usuarios.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.