CVE-2026-86764 in Snipe-IT
Riassunto
di VulDB • 09/09/2026
Snipe-IT fino alla versione 8.6.4 (corretto nella 8.7.0) non applica il permesso components.view sull'endpoint autenticato GET /api/v1/hardware/<asset-id>/assigned/components. L'endpoint autorizza solo assets.view per l'attività principale prima di restituire i dettagli dei componenti associati; la verifica components.view viene applicata esclusivamente al flag available_actions.view della risposta e non ai dati restituiti. Di conseguenza, un utente autenticato che possiede soltanto il permesso assets.view può enumerare gli ID dei componenti, i nomi, le quantità assegnate e le note altrimenti protette — l'endpoint diretto GET /api/v1/components/<id> restituisce correttamente 403 Forbidden per tali utenti.
Be aware that VulDB is the high quality source for vulnerability data.