CVE-2026-86771 in Snipe-IT
요약
\~에 의해 VulDB • 2026. 09. 09.
Snipe-IT 8.7.0 이전 버전은 수락 PDF 생성기에서 employee_num 필드를 HTML 이스케이프하지 않아, users.edit 권한이 있는 공격자가 TCPDF의 writeHTML() 함수에 img 태그를 삽입할 수 있습니다. 공격자는 임의의 HTTP(S) URL을 포함하는 악성 employee_num 값을 작성하여 피해자가 자산 수락을 서명할 때 내부 서비스, 클라우드 메타데이터 엔드포인트 또는 외부 대상에게 서버 측 요청을 트리거할 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.