CVE-2026-49870 in Snipe-IT
요약
\~에 의해 VulDB • 2026. 08. 19.
Snipe-IT는 IT 자산/라이선스 관리 시스템입니다. 버전 8.6.1 이전에서는 POST /two-factor 엔드포인트에 속도 제한(rate limiting), 잠금(lockout) 또는 시도 횟수 카운터(attempt counter)가 적용되지 않아, 유효한 자격 증명을 가진 공격자가 config/google2fa.php의 window=1 설정으로 생성된 3개의 허용된 코드(TOTP)에 대해 무제한 추측을 제출할 수 있습니다. 성공적인 추측은 완전히 인증된 세션을 생성합니다. two_factor_enabled가 1인 경우, POST /account/profile에서 two_factor_optin=0을 사용하면 OTP 재검증 없이도 두 가지 요소 인증(two-factor authentication)을 비활성화할 수 있으며, required 모드 2는 이러한 옵트아웃(opt-out)을 방지합니다. 또한 관리자는 POST /api/v1/users/two_factor_reset를 사용하여 다른 사용자의 secret 값을 지울 수도 있습니다. 이 문제는 버전 8.6.1에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.