PT-2026-51606

CVE-2026-48493

Publicado

2026-06-23

Atualizado

2026-06-25

Descrição por

CVSS 3.1

5.5

Média

MétricasAV:N/AC:L/PR:H/UI:N/S:U/C:L/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versões anteriores a 8.6.0

Descrição Um usuário com permissões users.edit e de API pode escalar seus privilégios enviando uma requisição PATCH para o endpoint '/api/v1/users/{their own id}'. Isso permite que o usuário conceda a si mesmo várias permissões, como assets.view, assets.create, reports.view e capacidades de importação, embora não possa conceder a si mesmo status de administrador ou superusuário.

Recomendações Atualizar para a versão 8.6.0.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Iltosec

Tienner

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-863: Incorrect Authorization