CVE-2026-55643 in Snipe-IT
Résumé
par VulDB • 19/08/2026
Snipe-IT est un système de gestion des actifs et licences informatiques. Avant la version 8.6.3, un utilisateur limité au périmètre d'une entreprise en mode « floater » dans FMCS peut accéder aux utilisateurs dont le `company_id` est null, car les requêtes API larges et les actions web par lot n'appliquent pas systématiquement la vérification `isCurrentUserHasAccess`. Les points de terminaison `/api/v1/users` et `/api/v1/users/{id}/licenses` peuvent exposer des données personnelles et les licences attribuées, `/users/bulkeditsave` peut modifier des profils hors périmètre, et `/users/merge` peut supprimer softement des utilisateurs et transférer les actifs assignés. Ce problème est corrigé dans la version 8.6.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.