CVE-2026-49870 in Snipe-IT
Сводка
по VulDB • 19.08.2026
Snipe-IT — это система управления IT-активами и лицензиями. До версии 8.6.1 эндпоинт POST /two-factor не имеет ограничения частоты запросов (rate limiting), блокировки или счетчика попыток, что позволяет атакующему с действительными учетными данными отправлять неограниченное количество догадок TOTP против трех кодов, принимаемых в соответствии с настройками из config/google2fa.php при window=1. Успешная угадайка приводит к созданию полностью авторизованной сессии. При включенном двухфакторном аутентификации (two_factor_enabled = 1) запрос POST /account/profile с параметром two_factor_optin=0 может отключить двухфакторную аутентификацию без повторного подтверждения OTP, тогда как режим «обязательный» (required mode 2) предотвращает такой отказ. Администратор также может использовать POST /api/v1/users/two_factor_reset для очистки секрета другого пользователя. Эта проблема исправлена в версии 8.6.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.