CVE-2026-86764 in Snipe-IT
要約
〜によって VulDB • 2026年09月09日
Snipe-ITの8.6.4以前（8.7.0で修正済み）では、認証済みエンドポイント `GET /api/v1/hardware/<asset-id>/assigned/components` において `components.view` パーミッションが強制されていません。このエンドポイントは、リンクされたコンポーネントの詳細を返す前に親アセットに対する `assets.view` のみを認可しており、`components.view` チェックは応答の `available_actions.view` フラグには適用されますが、返されるデータに対しては適用されません。その結果、`assets.view` 権限のみを持つ認証済みユーザーは、本来保護されているコンポーネントID、名前、割り当てられた数量、およびメモを列挙できます。対照的に、直接の `GET /api/v1/components/<id>` エンドポイントは、そのようなユーザーに対して正しく403 Forbidden（アクセス禁止）を返します。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.