CVE-2026-55643 in Snipe-IT
摘要
由 VulDB • 2026-08-19
Snipe-IT 是一款 IT 资产/许可证管理系统。在版本 8.6.3 之前，FMCS float 模式下的公司范围用户（company-scoped user）可以访问 company_id 为 null 的用户账户，因为广泛的 API 查询和批量 Web 操作未能一致地应用 isCurrentUserHasAccess 检查。`/api/v1/users` 和 `/api/v1/users/{id}/licenses` 端点可能泄露个人数据和已分配的许可证；`/users/bulkeditsave` 可修改超出范围的用户配置文件；而 `/users/merge` 可对用户执行软删除并转移已分配的资源。该问题已在版本 8.6.3 中修复。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.