CVE-2026-86763 in Snipe-IT
Sumário
de VulDB • 09/09/2026
As versões do Snipe-IT >= 7.0.12 e <= 8.6.3 contêm uma violação de autorização no componente importador Livewire (App\Livewire\Importer, montado na rota imports.index). O componente verificava apenas a permissão ampla 'import' no momento da montagem, enquanto suas propriedades computadas files() e activeFile() consultavam a tabela de imports sem nenhum escopo de proprietário ou empresa. Como resultado, qualquer usuário autenticado não superusuário que possuísse a permissão de importação podia visualizar todos os registros de Import na instância (nome do arquivo original, file_path, tamanho do arquivo, tipo de importação e carimbo de data/hora de criação) e invocar a ação Livewire selectFile($id) com qualquer ID de Import autoincrementado para carregar o registro de outro usuário, expondo seus dados de visualização armazenados (cabeçalhos da coluna header_row e first_row, que é a primeira linha de dados do CSV). Como os arquivos CSV de importação frequentemente contêm dados pessoais, números de série de ativos e chaves de licença, isso resulta na divulgação de informações sensíveis; em implantações com Suporte Total para Múltiplas Empresas (FMCS), a divulgação também cruza os limites da empresa/inquilino. O impacto é limitado aos dados de visualização, não ao arquivo CSV completo, e superusuários não foram afetados. Corrigido na versão 8.7.0, que restringe as leituras de não-superusuários às imports pertencentes ao chamador.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.