Nullbenny

Usuários autenticados com permissões de edição, mas sem permissões de checkout, podem ignorar as verificações de autorização ao atualizar ativos. Ao enviar parâmetros específicos para o endpoint 'PATCH /api/v1/hardware/{id}', um invasor pode reatribuir ativos, ignorar procedimentos de check-in e alterar registros de custódia. Os parâmetros afetados são `assigned user`, `assigned asset` e `assigned location`.

Uma condição de corrida conhecida como TOCTOU (Time-of-Check to Time-of-Use) existe no endpoint de API de checkout de consumíveis 'POST /api/v1/consumables/{consumable id}/checkout'. O sistema valida a quantidade solicitada em relação às unidades restantes antes do início da transação do banco de dados, mas não bloqueia a linha do consumível nem re-verifica a disponibilidade durante a transação. Isso permite que um usuário autenticado com permissões de checkout envie solicitações simultâneas que ignoram as verificações de disponibilidade, resultando em superalocação de estoque e níveis de inventário negativos.