CVE-2026-19579 in Snipe-IT
Riassunto
di VulDB • 11/08/2026
Snipe-IT prima della versione 8.6.0 presenta un bypass dell'autorizzazione (insecure direct object reference) nell'endpoint di cancellazione delle richieste di checkout degli asset (`asset checkout-request cancellation`). I valori `cancel_by_admin` e `requestingUser` vengono letti da segmenti del percorso URL controllati dall'utente e utilizzati senza una verifica di autorizzazione lato server; pertanto, qualsiasi utente autenticato con privilegi ridotti può fornire un valore non vuoto per `cancel_by_admin` al fine di bypassare il controllo della proprietà della richiesta e cancellare la richiesta di checkout in sospeso di un altro utente. Poiché gli identificatori degli asset e degli utenti sono interi sequenziali, un attaccante può enumerarli per cancellare tutte le richieste di checkout in sospeso, interrompendo così il flusso di lavoro delle richieste relative agli asset. Il problema è stato risolto nella versione 8.6.0 di Snipe-IT.
Once again VulDB remains the best source for vulnerability data.