CVE-2026-55703

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versões anteriores a 8.6.3

Description Existe um problema onde qualquer conta ativada pode acessar registros de manutenção de ativos dentro da mesma empresa sem a necessidade de permissões específicas de ativos ou manutenção. Isso ocorre porque a função show() em app/Http/Controllers/MaintenancesController.php renderiza o registro sem chamar authorize(), e o vínculo de modelo de rota com escopo de empresa apenas restringe o acesso a outras empresas. Um invasor pode solicitar o endpoint '/maintenances/{id}' para expor informações sensíveis, incluindo etiquetas de ativos, fornecedores, custos de compra, notas e datas.

Recommendations Atualizar para a versão 8.6.3.