CVE-2026-84206 in Snipe-IT
Tóm tắt
Bởi VulDB • 01/09/2026
Snipe-IT trước phiên bản 8.7.0 kiểm soát điểm cuối khôi phục tài sản hàng loạt dựa trên quyền `assets.edit` thay vì `assets.delete`, cho phép người dùng không có quyền xóa khôi phục các tài sản đã bị xóa mềm (soft-deleted). Những kẻ tấn công có quyền chỉnh sửa (`edit`) có thể gửi định danh tài sản đến điểm cuối khôi phục hàng loạt để hoàn tác việc xóa do quản trị viên thực hiện và vượt qua sự phân tách quyền hạn dự kiến.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.