CVE-2026-55643

إصدارات Snipe-IT الأقدم من 8.6.3

توجد مشكلة تتمثل في أن المستخدم على نطاق الشركة في وضع FMCS floater يمكنه الوصول إلى المستخدمين الذين لديهم company id فارغ، وذلك لأن فحص isCurrentUserHasAccess لا يتم تطبيقه بشكل متسق أثناء استعلامات API الواسعة والإجراءات الجماعية على الويب. وهذا يسمح بكشف البيانات الشخصية والتراخيص المخصصة عبر نقاط النهاية ’/api/v1/users‘ و ’/api/v1/users/{id}/licenses‘. بالإضافة إلى ذلك، يمكن استخدام نقطة النهاية ’/users/bulkeditsave‘ لتعديل الملفات الشخصية خارج نطاق المستخدم، ويمكن استخدام نقطة النهاية ’/users/merge‘ لنقل الأصول المخصصة وحذف المستخدمين بشكل مؤقت.

قم بالتحديث إلى الإصدار 8.6.3.