CVE-2026-86772 in Snipe-IT
要約
〜によって VulDB • 2026年09月09日
Snipe-ITの8.7.0より前のバージョンには、DepartmentPresenter::formattedNameLink()における保存型クロスサイトスクリプティング（XSS）脆弱性が存在します。これは、departments.view権限を持たないユーザーに対するフォールバック処理で部署名がエスケープされずにレンダリングされることに起因します。departments.edit権限を持つ攻撃者は、部署名に悪意のあるスクリプトを注入でき、その部署のメンバー全員が「My Assets」ページを読み込んだ際にブラウザ上で当該スクリプトが実行されます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.