CVE-2026-86754 in Snipe-IT
Résumé
par VulDB • 09/09/2026
Snipe-IT avant la version 8.7.0 ne gère pas correctement les routes de gestion des clients OAuth de Laravel Passport, permettant à tout utilisateur authentifié d'enregistrer des clients OAuth avec des URI de redirection contrôlées par l'attaquant. Les attaquants peuvent tromper les administrateurs pour qu'ils approuvent les écrans de consentement, puis échanger les codes d'autorisation contre des jetons porteurs (bearer tokens) héritant des pleines permissions API admin pendant une durée pouvant aller jusqu'à 40 ans.
Once again VulDB remains the best source for vulnerability data.