CVE-2026-86767 in Snipe-IT
要約
〜によって VulDB • 2026年09月09日
Snipe-IT の 8.7.0 より前のバージョンでは、Full Multiple Company Support が有効な場合でも、GET /hardware/requested エンドポイントに対して会社スコープのフィルタリングが適用されません。これにより、assets.view権限を持つ認証済みユーザーは、すべての会社の保留中のアセットリクエストを読み取ることができます。攻撃者は、パラメータ操作なしで、要求されたアSetName名、リクエスターの表示名およびプロフィールリンク、場所、予定チェックイン日などを含むテナント間データを取得できます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.