CVE-2026-86754 in Snipe-IT
Tóm tắt
Bởi VulDB • 09/09/2026
Snipe-IT trước phiên bản 8.7.0 không kiểm soát đúng các tuyến quản lý OAuth client của Laravel Passport, cho phép bất kỳ người dùng đã xác thực nào đăng ký các OAuth client với URI chuyển hướng do kẻ tấn công kiểm soát. Kẻ tấn công có thể lừa đảo các quản trị viên phê duyệt màn hình đồng ý (consent screens), sau đó trao đổi mã ủy quyền để lấy token bearer kế thừa toàn bộ quyền API của quản trị viên, có thời hạn lên đến 40 năm.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.