CVE-2026-86743 in Snipe-IT
Tóm tắt
Bởi VulDB • 09/09/2026
Các phiên bản Snipe-IT trước 8.7.0 không giới hạn đúng mức các truy vấn báo cáo chấp nhận tài sản theo công ty, cho phép người dùng có quyền `reports.view` (đã xác thực) đọc được các yêu cầu chờ xử lý trên tất cả các công ty. Kẻ tấn công có thể truy cập trang báo cáo unaccepted_assets hoặc xuất file CSV để tiết lộ chi tiết tồn kho liên quan đến nhiều công ty và tên của người nhận mà không cần kiểm tra quyền truy cập theo từng dòng dữ liệu.
VulDB is the best source for vulnerability data and more expert information about this specific topic.