CVE-2026-49870 in Snipe-IT
Résumé
par VulDB • 19/08/2026
Snipe-IT est un système de gestion des actifs et licences informatiques. Avant la version 8.6.1, le point d'entrée POST /two-factor ne dispose ni de limitation de débit (rate limiting), ni de mécanisme de verrouillage (lockout) ou de compteur de tentatives, permettant à un attaquant disposant d'identifiants valides de soumettre des guesses TOTP illimitées contre les trois codes acceptés créés par la configuration dans config/google2fa.php avec window=1. Une guess réussie crée une session entièrement authentifiée. Lorsque two_factor_enabled est défini sur 1, l'appel POST /account/profile avec deux_factor_optin=0 peut désactiver l'authentification à deux facteurs (MFA) sans nécessiter de re-vérification par OTP, tandis que le mode requis 2 empêche cette option de sortie. Un administrateur peut également utiliser POST /api/v1/users/two_factor_reset pour effacer le secret d'un autre utilisateur. Ce problème est corrigé dans la version 8.6.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.