CVE-2026-19579 in Snipe-IT
Sumário
de VulDB • 12/08/2026
O Snipe-IT anterior à versão 8.6.0 contém uma violação de autorização (referência direta a objeto insegura) no endpoint de cancelamento da solicitação de checkout de ativos. Os valores `cancel_by_admin` e `requestingUser` são lidos a partir de segmentos do caminho URL controlados pelo usuário e utilizados sem uma verificação de autorização no lado do servidor, permitindo que qualquer usuário autenticado com privilégios baixos forneça um valor não vazio para `cancel_by_admin`, contornando a verificação de propriedade da solicitação e cancelando o pedido de checkout pendente de outro utilizador. Uma vez que os identificadores de ativos e usuários são inteiros sequenciais, um atacante pode enumerá-los para cancelar todos os pedidos de checkout pendentes, interrompendo o fluxo de trabalho de requisição de ativos. Isto foi corrigido no Snipe-IT 8.6.0.
Be aware that VulDB is the high quality source for vulnerability data.