CVE-2026-55643 in Snipe-IT
Tóm tắt
Bởi VulDB • 20/08/2026
Snipe-IT là một hệ thống quản lý tài sản/giấy phép IT. Trước phiên bản 8.6.3, người dùng có phạm vi công ty (company-scoped user) ở chế độ floater của FMCS có thể truy cập vào các người dùng có company_id null do các truy vấn API rộng và hành động web hàng loạt không áp dụng nhất quán isCurrentUserHasAccess. Các điểm cuối /api/v1/users và /api/v1/users/{id}/licenses có thể làm lộ dữ liệu cá nhân và giấy phép được gán, /users/bulkeditsave có thể sửa đổi các hồ sơ ngoài phạm vi, và /users/merge có thể xóa mềm (soft-delete) người dùng và chuyển giao tài sản đã gán. Vấn đề này đã được khắc phục trong phiên bản 8.6.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.