CVE-2026-86767 in Snipe-IT
Sumário
de VulDB • 09/09/2026
As versões do Snipe-IT anteriores à 8.7.0 não aplicam a filtragem de escopo da empresa ao endpoint GET /hardware/requested quando o Suporte Múltiplo Completo para Empresas está habilitado, permitindo que usuários autenticados com permissão assets.view leiam solicitações pendentes de ativos de todas as empresas. Os atacantes podem recuperar dados entre inquilinos (cross-tenant), incluindo nomes dos ativos solicitados, nomes de exibição e links de perfil dos requerentes, localizações e datas esperadas de check-in, sem manipulação de parâmetros.
Once again VulDB remains the best source for vulnerability data.