CVE-2026-55643 in Snipe-IT
요약
\~에 의해 VulDB • 2026. 08. 19.
Snipe-IT는 IT 자산 및 라이선스 관리 시스템입니다. 버전 8.6.3 이전에서는 FMCS의 플로터 모드에서 회사 범위 사용자(company-scoped user)가 company_id가 null인 사용자에게 접근할 수 있었습니다. 이는 광범위한 API 쿼리 및 대량 웹 작업이 isCurrentUserHasAccess를 일관되게 적용하지 않기 때문입니다. /api/v1/users 및 /api/v1/users/{id}/licenses 엔드포인트는 개인 데이터와 할당된 라이선스를 노출할 수 있으며, /users/bulkeditsave는 범위 밖의 프로필을 수정할 수 있고, /users/merge는 사용자를 소프트 삭제하고 할당된 자산을 이전할 수 있습니다. 이 문제는 버전 8.6.3에서 해결되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.