CVE-2026-54329

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versões anteriores a 8.6.2

Descrição Um problema de injeção de dados entre locatários existe na API de Acessórios quando o Suporte Completo a Múltiplas Empresas (Full Multiple Companies Support) está habilitado. Um usuário autenticado com baixos privilégios pode criar registros de acessórios pertencentes a outra empresa ao fornecer um company id externo no corpo da requisição da API. Isso ocorre porque o caminho de criação da API atribui em massa os parâmetros da requisição ao modelo Accessory, e a variável company id permite atribuição em massa. Diferente do controlador web, o controlador da API não aplica a imposição do contexto de empresa do usuário autenticado, permitindo que um usuário de uma empresa injete registros persistentes no inventário de outra empresa.

Recomendações Atualizar para a versão 8.6.2.