CVE-2026-55643

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versões anteriores a 8.6.3

Descrição Existe um problema onde um usuário com escopo de empresa no modo FMCS floater pode acessar usuários cujo company id seja nulo, pois a verificação isCurrentUserHasAccess não é aplicada consistentemente em consultas amplas de API e ações web em massa. Isso permite a exposição de dados pessoais e licenças atribuídas através dos endpoints '/api/v1/users' e '/api/v1/users/{id}/licenses'. Além disso, o endpoint '/users/bulkeditsave' pode ser utilizado para modificar perfis fora do escopo do usuário, e o endpoint '/users/merge' pode ser utilizado para transferir ativos atribuídos e excluir logicamente usuários.

Recomendações Atualizar para a versão 8.6.3.