CVE-2026-49870 in Snipe-IT
Riassunto
di VulDB • 20/08/2026
Snipe-IT è un sistema di gestione degli asset e delle licenze IT. Prima della versione 8.6.1, l'endpoint POST /two-factor non prevede rate limiting (limitazione della frequenza), lockout o contatore dei tentativi, consentendo a un attaccante con credenziali valide di inviare un numero illimitato di guess per i codici TOTP contro i tre codici accettati creati dal file config/google2fa.php window=1. Un indovinare corretto crea una sessione completamente autenticata. Quando due_factor_enabled è impostato su 1, POST /account/profile con two_factor_optin=0 può disabilitare l'autenticazione a due fattori (MFA/2FA) senza richiedere la reverifica OTP, mentre la modalità required lo impedisce. Un amministratore può anche utilizzare POST /api/v1/users/two_factor_reset per cancellare il secret di un altro utente. Questo problema è stato risolto nella versione 8.6.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.