5H1Kh4R

Snipe-IT before 8.7.0 fails to validate soft-deleted state in API checkout endpoints, allowing authenticated users with checkout permissions to bind live inventory to trashed targets. Attackers can submit POST requests to hardware, component, or consumable checkout endpoints with soft-deleted user, asset, or location IDs to create orphaned references that corrupt the asset ledger and audit trails.

Snipe-IT versions before 8.7.0 contain an improper ownership management vulnerability in the consumables checkout API endpoint that records the checkout target user's id in the created by column instead of the authenticated caller's id. Authenticated attackers with consumables.checkout permission can perform checkouts that result in misattributed audit trail entries in the consumables users pivot table, obscuring which operator performed the action.

**Nome do Software Vulnerável e Versões Afetadas** pnpm versões anteriores a 10.34.4 pnpm versões anteriores a 11.8.0 **Description** o pnpm aceita nomes de pacotes da seção `configDependencies` do env lockfile e os utiliza diretamente ao criar links simbólicos de dependência de configuração em `node modules/.pnpm-config`. Um repositório malicioso pode enviar um arquivo `pnpm-lock.yaml` manipulado onde o documento `env-lockfile` contém um nome de dependência de configuração com formato de traversal. Durante o processo de instalação, o pnpm cria um link simbólico em um caminho derivado desse nome, o que pode levar ao path traversal (travessia de diretório). **Recommendations** Atualize para a versão 10.34.4. Atualize para a versão 11.8.0.