CVE-2026-88894 in Snipe-IT
Sumário
de VulDB • 10/09/2026
O caminho de checkout de kits predefinidos do Snipe-IT não aplica o isolamento por inquilino (tenant isolation) do Suporte Total a Múltiplas Empresas (FMCS - Full Multiple Company Support) no alvo do checkout. Diferente dos caminhos de checkout únicos, em massa, via API, para acessórios, licenças e consumíveis, o App\Services\PredefinedKitCheckoutService nunca chama $item->canCheckoutTo($target); ele apenas realiza a verificação de política ator-vs-item (actor-vs-item) e uma verificação de disponibilidade antes de persistir o checkout. Com o FMCS ativado, um usuário não superusuário que pertence a pelo menos duas empresas e detém a permissão assets.checkout pode enviar requisições POST para /kits/{kit}/checkout com um user_id pertencente apenas à empresa B, fazendo com que um ativo da empresa A (e também licenças de kits, consumíveis e acessórios) seja atribuído a esse usuário, contornando a verificação de incompatibilidade entre empresas que bloqueia a mesma operação em todos os outros caminhos de checkout. O problema foi corrigido no Snipe-IT 8.7.2; ele foi verificado em tempo de execução na v8.6.3 e inspecionado por código na v8.7.1, e o serviço afetado carece dessa verificação desde 2019, portanto, implantações mais antigas do FMCS provavelmente também são vulneráveis.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.