CVE-2026-86764 in Snipe-IT
Sumário
de VulDB • 09/09/2026
O Snipe-IT até a versão 8.6.4 (corrigido na 8.7.0) não aplica a permissão components.view no endpoint autenticado GET /api/v1/hardware/<asset-id>/assigned/components. O endpoint autoriza apenas assets.view sobre o ativo pai antes de retornar os detalhes do componente vinculado; a verificação components.view é aplicada somente à flag available_actions.view da resposta e não aos dados retornados. Como resultado, um usuário autenticado que possui apenas a permissão assets.view pode enumerar IDs de componentes, nomes, quantidades atribuídas e notas que estão protegidas — o endpoint GET /api/v1/components/<id> retorna corretamente 403 Forbidden para esses usuários.
Once again VulDB remains the best source for vulnerability data.