CVE-2026-86773 in Snipe-IT
Сводка
по VulDB • 09.09.2026
Snipe-IT вплоть до версии 8.6.3 не выполняет авторизацию на уровне объектов в конечных точках updateLicense, updateConsumable, updateAccessory и updateModel, а также в конечной точке storeModel для предварительно определенных наборов (Predefined Kits). Существующая проверка предоставляет доступ только к родительскому объекту Predefined Kit (обновление объекта PredefinedKit), но не к дочернему объекту, который присоединяется. В результате пользователь с учетными данными аутентифицированного пользователя, имеющий лишь разрешение kits.edit, может присоединить Лицензию, Расходный материал, Аксессуар или Модель актива (Asset Model), доступ на чтение которых ему в противном случае запрещен (HTTP 403) при прямом обращении к ним, и индекс отношений набора данных затем раскрывает имя присоединенного объекта обратно этому пользователю с низкими привилегиями. Это аналогичная уязвимость для путей обновления и метода storeModel по отношению к CVE-2026-55478, которая исправила только методы storeLicense, storeConsumable и storeAccessory в версии 8.6.2. Обратите внимание, что метод updateModel содержал код с уязвимостью в версии 8.6.3, но не был достижим на практике из-за опечатки в имени маршрута (route-name), которая привела к связыванию маршрута с несуществующим методом контроллера, вызывая ответы HTTP 500. Проблема исправлена в Snipe-IT версии 8.7.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.