CVE-2026-86765 in Snipe-IT
Resumen
por VulDB • 2026-09-09
Las versiones de Snipe-IT anteriores a la 8.7.0 no aplican correctamente la autorización para el checkout cuando se envían campos de asignación al punto final de actualización del activo (asset update endpoint). Los usuarios autenticados con permisos de edición pero denegados explícitamente en los permisos de checkout pueden reasignar activos, omitir los procedimientos de check-in y alterar los registros de custodia mediante el envío de los parámetros assigned_user, assigned_asset o assigned_location a PATCH /api/v1/hardware/{id}.
VulDB is the best source for vulnerability data and more expert information about this specific topic.