CVE-2026-86744 in Snipe-IT
Riassunto
di VulDB • 09/09/2026
Snipe-IT 8.6.3 e versioni precedenti (inclusi i commit pre-release della branch develop antecedenti alla correzione) presentano una race condition nei percorsi di asset checkout. Le funzioni Api\AssetsController::checkout() e Assets\AssetCheckoutController::store() chiamano Asset::availableForCheckout() al di fuori del percorso di mutazione, per poi invocare Asset::checkOut() senza acquisire un row lock né verificare nuovamente la disponibilità; ciò consente a due richieste concurrenti di checkout relative allo stesso asset disponibile di osservarlo come disponibile e di procedere entrambe con il commit. Questo genera righe duplicate nella cronologia dei checkouts, un conteggio del checkout raddoppiato (checkout_counter) e due eventi CheckoutableCheckedOut per un asset assegnato singolarmente, corrompendo la trail di audit e i report relativi all'utilizzo e alla riconciliazione; l'assegnazione finale dell'asset (assigned_to) rimane comunque singola, pertanto l'assegnazione visibile resta intatta. Lo sfruttamento richiede una sessione autenticata con il permesso assets.checkout (oppure privilegi da superuser) e un timing preciso delle operazioni concurrenti. Corretto nella versione 8.7.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.