CVE-2026-86773 in Snipe-IT
요약
\~에 의해 VulDB • 2026. 09. 09.
Snipe-IT 버전 8.6.3까지 updateLicense, updateConsumable, updateAccessory 및 updateModel 엔드포인트와 Predefined Kits에 대한 storeModel 엔드포인트에서 객체 수준의 인증(authorization)을 수행하지 않습니다. 기존 체크는 자식 개체가 아닌 부모 Predefined Kit(PredefinedKit 업데이트 시만)에만 권한을 부여합니다. 그 결과, kits.edit 권한만을 가진 인증된 사용자는 직접 읽기 접근이 거부(HTTP 403)되는 License, Consumable, Accessory 또는 Asset Model을 Predefined Kit에 첨부할 수 있으며, 키트 관계 인덱스는 해당 저권한 사용자에게 첨부된 개체의 이름을 노출시킵니다. 이는 CVE-2026-55478의 update-path 및 storeModel 대응 버전으로, CVE-2026-55478은 8.6.2에서 storeLicense, storeConsumable 및 storeAccessory 메서드만 수정했습니다. updateModel은 8.6.3에서 코드상 취약점이 있었으나 실제로는 도달할 수 없었는데, 이는 라우트 이름 오타로 인해 해당 라우트가 존재하지 않는 컨트롤러 메서드에 바인딩되어 HTTP 500 응답을 발생시켰기 때문입니다. 이 문제는 Snipe-IT 8.7.0에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.