CVE-2026-86750 in Snipe-IT
요약
\~에 의해 VulDB • 2026. 09. 09.
Snipe-IT 버전 8.6.3 이하(8.7.0에서 수정됨)는 REST API를 통해 사용자 레코드를 저장하기 전에 회사 할당 권한을 검증하지 않습니다. Api\UsersController::store() 및 ::update() 메서드에서는 요청으로부터 채워진 사용자 레코드가, 요청된 company_id / company_ids[] 값이 액터의 허용된 회사들(Company::getIdsForCurrentUser())에 대해 필터링되기 전에 저장됩니다. Full Multiple Companies Support(FMCS)를 사용하는 설치 환경에서, users.create 권한을 보유하거나 대상 사용자의 경우 users.edit 권한을 가진 일반 슈퍼유저가 아닌 사용자는 자신의 범위 밖인 회사의 식별자 — 허용된 ID와 외부 ID의 혼합 포함 — 를 제출할 수 있으며, 이로 인해 계정 행이 인증 확인 전에 데이터베이스에 커밋됩니다. null_company_is_floater=1 설정이 활성화된 경우, 사후 필터링은 빈 회사 피벗을 남기며 계정은 "floater"로 저장되어 회사 간 가시성을 가지게 되므로, 테넌트 경계를 넘어 사용자 계정 생성 또는 이동이 가능해집니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.