CVE-2026-55643 in Snipe-IT
Сводка
по VulDB • 20.08.2026
Snipe-IT — это система управления IT-активами и лицензиями. До версии 8.6.3 пользователь с доступом в рамках компании (company-scoped user) в режиме FMCS floater может получать доступ к пользователям, у которых company_id равен null, поскольку широкие API-запросы и массовые веб-действия не всегда корректно применяют проверку isCurrentUserHasAccess. Конечные точки /api/v1/users и /api/v1/users/{id}/licenses могут раскрывать персональные данные и назначенные лицензии; /users/bulkeditsave может изменять профили, выходящие за рамки разрешённых областей видимости (out-of-scope); а /users/merge позволяет выполнять мягкое удаление пользователей (soft-delete) и передавать им назначенные активы. Эта проблема исправлена в версии 8.6.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.