CVE-2026-49870

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versões anteriores a 8.6.1

Descrição O aplicativo carece de limitação de taxa, mecanismos de bloqueio ou contadores de tentativas no endpoint 'POST /two-factor'. Isso permite que um invasor com credenciais válidas realize um número ilimitado de tentativas de senha de uso único baseada em tempo (TOTP). Como o sistema aceita o código atual e um passo para cada lado, conforme definido em config/google2fa.php window=1, três códigos possíveis são válidos a qualquer momento. Um palpite bem-sucedido resulta em uma sessão totalmente autenticada. Se a variável two factor enabled estiver definida como 1, um invasor pode desativar a autenticação de dois fatores através do endpoint 'POST /account/profile' definindo a variável two factor optin como 0, sem a necessidade de nova verificação de OTP. Além disso, um administrador pode limpar o segredo de outro usuário usando o endpoint 'POST /api/v1/users/two factor reset'.

Recomendações Atualize para a versão 8.6.1.