CVE-2026-55843 in Snipe-IT
요약
\~에 의해 VulDB • 2026. 07. 10.
Snipe-IT는 IT 자산/라이선스 관리 시스템입니다. 버전 8.6.0 이전의 UsersController::update() 메서드는 누락된 권한 요청 필드를 NormalizePermissionsPayloadAction 및 PreserveUnauthorizedPrivilegedPermissionsAction을 통해 전달하는 방식에서 취약점이 발견되었으며, 이는 희소한(sparse) 결과를 사용하여 대상 사용자의 권한을 덮어쓸 수 있습니다. 이로 인해 다른 관리자를 업데이트하는 관리자나 users.edit 권한이 있는 사용자가 일반 계정을 업데이트할 때 대상의 관리자 권한 또는 세분화된(granular) 권한을 제거할 수 있게 됩니다. 이 문제는 버전 8.6.0에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.