CVE-2026-86763 in Snipe-IT
Riassunto
di VulDB • 09/09/2026
Le versioni di Snipe-IT >= 7.0.12 e <= 8.6.3 presentano un bypass dell'autorizzazione nel componente Livewire importer (App\Livewire\Importer, montato sul route imports.index). Il componente verificava solo l'ampia capacità 'import' al momento del mount, mentre le sue computed properties files() e activeFile() interrogavano la tabella delle importazioni senza alcun filtro per proprietario o azienda. Di conseguenza, qualsiasi utente autenticato non superuser con il permesso di importazione poteva visualizzare ogni record Import sull'istanza (nome file originale, file_path, filesize, import_type e timestamp di creazione) ed era in grado di invocare l'action Livewire selectFile($id) con un ID Import autoincrementante a piacere per caricare i record di altri utenti, esponendo i dati di anteprima memorizzati (intestazioni della colonna header_row e first_row, la prima riga dei dati del CSV). Poiché i file CSV di importazione contengono comunemente dati personali, numeri di serie delle risorse e chiavi di licenza, ciò comporta una divulgazione di informazioni sensibili; nelle distribuzioni con Full Multiple Companies Support (FMCS) la divulgazione attraversa anche i confini tra aziende/tenant. L'impatto è limitato ai dati di anteprima piuttosto che all'intero file CSV, e gli utenti superuser non sono stati interessati. Risolto nella versione 8.7.0, che applica un filtro per proprietario alle letture degli utenti non superuser sui record importati dal chiamante.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.