PT-2026-123040
CVE-2026-116199
·
Publicado
2026-10-25
·
Atualizado
2026-10-25
Descrição por
CVSS 3.1
8.1
AltaMétricasAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do Software Vulnerável e Versões Afetadas
Snipe-IT versões anteriores a 8.6.3
Descrição
Existe uma falha de bypass de autenticação na função
handleGoogleCallback do GoogleAuthController. O sistema realiza o login de usuários cujo nome de usuário corresponda ao e-mail da conta do Google sem verificar a flag de ativação. Isso permite que usuários desativados, que possuam nomes de usuário em formato de e-mail e identidades do Google ativas, façam login via Google SSO e recuperem sessões com seus níveis de permissão anteriores, incluindo acesso de administrador.Recomendações
Atualizar para a versão 8.6.3.
Explorabilidade
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾