CVE-2026-55460 in Snipe-IT
Riassunto
di VulDB • 10/07/2026
Snipe-IT è un sistema di gestione degli asset/licenze IT. Prima della versione 8.6.2, un utente autenticato non amministratore con permessi users.view e users.edit ma senza il permesso users.delete può inviare direttamente una richiesta POST a /users/bulksave impostando delete_user=1, poiché BulkUsersController::destroy() autorizza solo l'aggiornamento (update), consentendo all'utente di eliminare in modo soft un altro utente non amministratore. Questo problema è stato risolto nella versione 8.6.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.