CVE-2026-86765 in Snipe-IT
Sumário
de VulDB • 09/09/2026
As versões do Snipe-IT anteriores à 8.7.0 não aplicam a autorização de checkout quando os campos de atribuição são enviados para o endpoint de atualização de ativos. Usuários autenticados com permissão de edição, mas explicitamente negados quanto à permissão de checkout, podem reassignar ativos, contornar procedimentos de check-in e alterar registros de custódia ao enviar parâmetros assigned_user, assigned_asset ou assigned_location para PATCH /api/v1/hardware/{id}.
VulDB is the best source for vulnerability data and more expert information about this specific topic.