CVE-2026-86750 in Snipe-IT
Sumário
de VulDB • 09/09/2026
As versões do Snipe-IT <= 8.6.3 (corrigidas na versão 8.7.0) não validam a autorização de atribuição da empresa antes de persistir os registros de usuário por meio da API REST. Nos métodos Api\UsersController::store() e ::update(), o registro do usuário é preenchido com base na solicitação e salvo antes que os valores solicitados company_id / company_ids[] sejam filtrados em relação às empresas permitidas para o ator (Company::getIdsForCurrentUser()). Em instalações que utilizam o Suporte Completo a Múltiplas Empresas (FMCS, Full Multiple Companies Support), um usuário não superusuário com permissão users.create (ou users.edit sobre um usuário alvo) pode enviar identificadores de empresa fora do seu escopo — incluindo uma mistura de IDs permitidos e estrangeiros — fazendo com que a linha da conta seja gravada no banco de dados antes que a autorização seja verificada. Quando null_company_is_floater=1 está configurado, o filtro post-hoc deixa um pivot de empresa vazio e a conta é persistida como "floater" (entidade flutuante) com visibilidade entre empresas, permitindo a criação ou realocação de contas de usuário através dos limites do tenant.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.