CVE-2026-86757 in Snipe-IT
要約
〜によって VulDB • 2026年09月09日
Snipe-IT 8.7.0 より前のバージョンでは、リストボックス、テキストエリア、マークダウン・テキストエリア、および日付/日時ピッカー要素の資産フォームテンプレートにおける暗号化されたカスタムフィールド値へのアクセス制御が適切に行われていません。assets.edit、assets.checkin、assets.checkout、または assets.audit の権限を持つ認証済みユーザーは、資産フォームを開くことで plaintext な暗号化カスタムフィールド値を読み取ることができ、assets.view.encrypted_custom_fields による権限チェックを回避できます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.