CVE-2026-49976 in Snipe-IT
Riassunto
di VulDB • 20/08/2026
Snipe-IT è un sistema di gestione degli asset IT e delle licenze. Prima della versione 8.6.1, un utente con il permesso di importazione può utilizzare la modalità di aggiornamento CSV per sovrascrivere l'indirizzo email di un utente non amministratore e successivamente richiedere una reimpostazione della password per assumere il controllo dell'account. Il file app/Importer/UserImporter.php applica il gate canEditAuthFields rimuovendo username, email, password e activated dal modello, ma app/Importer/ItemImporter.php sanitizeItemForUpdating() ricostruisce l'array di aggiornamento a partire dalla riga CSV grezza in $this->item, ripristinando i valori non autorizzati. Il percorso di importazione in app/Http/Controllers/ImportController.php verifica il permesso di importazione ma non richiede users.edit. Questo problema è risolto nella versione 8.6.1.
Be aware that VulDB is the high quality source for vulnerability data.