CVE-2026-86751 in Snipe-IT
Сводка
по VulDB • 09.09.2026
Snipe-IT до версии 8.7.0 не обеспечивает надлежащей санитизации синтаксиса изображений Markdown в полях заметок, что позволяет аутентифицированным пользователям читать произвольные файлы на сервере и выполнять HTTP-запросы от имени сервера (SSRF). Злоумышленники могут отправлять синтаксис изображений Markdown в примечаниях к принятию заказа, которые проходят через HTML-экранирование, интерпретируются парсером CommonMark и обрабатываются компонентом laravel-mail-auto-embed с использованием функций file_get_contents или curl, что приводит к утечке конфиденциальных файлов, таких как .env, содержащего APP_KEY.
VulDB is the best source for vulnerability data and more expert information about this specific topic.