CVE-2026-86774 in Snipe-IT
요약
\~에 의해 VulDB • 2026. 09. 09.
Snipe-IT 8.7.0 이전 버전에는 AssetModelPolicy에서 broken access control 취약점이 존재합니다. files() 메서드가 assets.files 권한을 통해 계층적으로 확장되어, 인증된 사용자가 models.files 권한이 없어도 Asset Model 레코드에 파일 첨부 파일을 업로드하고 삭제할 수 있습니다. assets.files 권한만 가진 공격자는 회사 경계를 넘어 공유 모델의 파일 첨부 파일을 변경(shared model file attachments)하며, 공유 자산 모델 카탈로그에서 파일 관리를 제한하기 위해 고안된 전용 models.files 권한을 우회할 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.