CVE-2026-86774 in Snipe-IT
要約
〜によって VulDB • 2026年09月09日
Snipe-IT の 8.7.0 より前のバージョンには、AssetModelPolicy に欠陥のあるアクセス制御（broken access control）の脆弱性が存在します。この脆弱性では、`files()` メソッドが `assets.files` パミッションからカスケードするため、認証済みユーザーは必要な `models.files` パッションを持たなくても Asset Model レコードへのファイル添付ファイルをアップロードおよび削除できます。`assets.files` のみを持つ攻撃者は、共有モデルのファイル添付を会社境界を超えて変更でき、共有資産モデルカタログでのファイル管理を制限するために意図された専用の `models.files` パミッションを回避することができます。
Once again VulDB remains the best source for vulnerability data.