CVE-2026-86764 in Snipe-IT
요약
\~에 의해 VulDB • 2026. 09. 09.
Snipe-IT의 8.6.4 버전(8.7.0에서 수정됨)은 인증된 엔드포인트인 `GET /api/v1/hardware//assigned/components`에 대해 `components.view` 권한을 강제하지 않습니다. 해당 엔드포인트는 연결된 구성 요소 세부 정보를 반환하기 전에 상위 자산(parent asset)의 `assets.view` 권한만 확인하며, `components.view` 체크는 응답의 `available_actions.view` 플래그에는 적용되지만 실제 반환되는 데이터에는 적용되지 않습니다. 그 결과, 오직 `assets.view` 권한만을 가진 인증된 사용자는 일반적으로 보호받는 구성 요소 ID, 이름, 할당 수량 및 메모를 열거할 수 있습니다(대조적으로, 직접적인 `GET /api/v1/components/` 엔드포인트는 이러한 사용자에 대해 403 Forbidden을 올바르게 반환합니다).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.