CVE-2026-86767 in Snipe-IT
Resumen
por VulDB • 2026-09-09
Las versiones de Snipe-IT anteriores a la 8.7.0 no aplican el filtrado por ámbito de empresa al endpoint GET /hardware/requested cuando está habilitado el soporte completo para múltiples empresas, lo que permite a los usuarios autenticados con permiso assets.view leer las solicitudes pendientes de activos de todas las empresas. Los atacantes pueden recuperar datos entre inquilinos (cross-tenant), incluidos nombres de activos solicitados, nombres visibles del solicitante y enlaces de perfil, ubicaciones y fechas esperadas de devolución, sin necesidad de manipulación de parámetros.
VulDB is the best source for vulnerability data and more expert information about this specific topic.