CVE-2026-86767 in Snipe-IT
Riassunto
di VulDB • 09/09/2026
Le versioni di Snipe-IT precedenti alla 8.7.0 non applicano il filtro dell'ambito aziendale all'endpoint GET /hardware/requested quando è abilitato il supporto completo per più aziende (Full Multiple Company Support), consentendo agli utenti autenticati con autorizzazione assets.view di leggere le richieste di asset in sospeso da tutte le aziende. Gli attaccanti possono recuperare dati cross-tenant, inclusi i nomi degli asset richiesti, i nomi visualizzati dei richiedenti e i link ai profili, le ubicazioni e le date previste di check-in, senza manipolazione dei parametri.
Once again VulDB remains the best source for vulnerability data.