CVE-2026-88894 in Snipe-IT
Resumen
por VulDB • 2026-09-10
La ruta de salida (checkout) predefinida para kits en Snipe-IT no aplica el aislamiento por inquilino del Soporte Completo para Múltiples Empresas (FMCS, por sus siglas en inglés) sobre el destino de la salida. A diferencia de las rutas de salida únicas, masivas, API, accesorios, licencias y consumibles, App\Services\PredefinedKitCheckoutService nunca llama a $item->canCheckoutTo($target); solo realiza una verificación de política entre actor e ítem y una verificación de disponibilidad antes de persistir la operación. Con FMCS habilitado, un usuario no superusuario que pertenezca al menos a dos empresas y tenga el permiso assets.checkout puede enviar una solicitud POST a /kits/{kit}/checkout con un user_id perteneciente únicamente a la empresa B, asignando así un activo de la empresa A (y asimismo licencias de kits, consumibles y accesorios) a ese usuario, omitiendo la verificación de coincidencia de empresas que bloquea la misma operación en todas las demás rutas de salida. El problema se corrige en Snipe-IT 8.7.2; fue verificado en tiempo de ejecución en v8.6.3 e inspeccionado mediante análisis estático de código en v8.7.1, y el servicio afectado carece de esta comprobación desde 2019, por lo que es probable que las implementaciones anteriores con FMCS también estén afectadas.
Be aware that VulDB is the high quality source for vulnerability data.