CVE-2026-86747 in Snipe-IT
Riassunto
di VulDB • 09/09/2026
Snipe-IT è un sistema di gestione degli asset IT open source. Nelle versioni fino a e incluse la 8.6.3, gli endpoint per l'accettazione dei report POST /reports/unaccepted_assets/sent_reminder (ReportsController::sentAssetAcceptanceReminder) e DELETE /reports/unaccepted_assets/{acceptanceId}/delete (ReportsController::deleteAssetAcceptance) non sono correttamente limitati in ambito quando è abilitato il Full Multiple Company Support (FMCS). Nella versione 8.6.3, la funzione di controllo ReportsController::currentUserCanAccessAcceptance() esce prematuramente restituendo 'true' quando '! $user->company_id' ha valore vero, condizione che si verifica per ogni utente "pivot-only" (un utente associato alle aziende tramite la tabella pivot company_user ma con il campo scalare users.company_id impostato su NULL); nelle versioni precedenti alla 8.6.3 tale controllo era del tutto assente. Di conseguenza, un utente autenticato in possesso della permission reports.view può inviare email di promemoria per l'accettazione e cancellare definitivamente qualsiasi record di accensione pendente nell'installazione, indipendentemente dall'appartenenza aziendale dell'asset sottostante oggetto di checkout. La cancellazione è distruttiva e compromette la traccia di audit relativa all'accettazione per gli elementi interessati; inoltre, le email di promemoria espongono al destinatario un contesto limitato relativo alle accettazioni tra diverse aziende (nome dell'elemento e metadati sull'assegnazione). Gli ID di accettazione sono interi sequenziali e possono essere enumerati. Questo problema è stato risolto nella versione 8.7.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.