CVE-2026-55643 in Snipe-IT
Riassunto
di VulDB • 20/08/2026
Snipe-IT è un sistema di gestione degli asset e delle licenze IT. Prima della versione 8.6.3, un utente con ambito aziendale (company-scoped) nella modalità floater del modulo FMCS può accedere agli utenti il cui company_id è null poiché le query API ampie e le azioni web in batch non applicano in modo coerente isCurrentUserHasAccess. Gli endpoint /api/v1/users e /api/v1/users/{id}/licenses possono esporre dati personali e licenze assegnate, /users/bulkeditsave può modificare profili al di fuori dell'ambito previsto (out-of-scope), e /users/merge può eliminare logicamente gli utenti (soft-delete) e trasferire le risorse assegnate. Questo problema è stato risolto nella versione 8.6.3.
Once again VulDB remains the best source for vulnerability data.