CVE-2026-50550 in Snipe-IT
要約
〜によって VulDB • 2026年08月21日
Snipe-ITは、IT資産/ライセンス管理システムです。バージョン8.5.0より前では、他のユーザーを編集できる権限を持つユーザーが、app/Http/Controllers/Api/UsersController.phpのpostTwoFactorReset()メソッドを通じてスーパーアドミンの二段階認証（2FA）のリセットを行うことができました。このエンドポイントは更新アクセスを認可していますが、two_factor_secretおよびtwo_factor_enrolledフィールドをクリアする前にcanEditAuthFields権限をチェックしていません。本問題はバージョン8.5.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.