CVE-2026-61807

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versões anteriores a 8.6.2

Descrição Ocorre um Cross-Site Scripting (XSS) baseado em DOM armazenado quando o nome de um fabricante ou fornecedor é passado como o componente de tabela $name e se torna data-selected-count-id no arquivo resources/views/partials/bootstrap-table.blade.php. O código do lado do cliente lê o countId decodificado pelo navegador, usa-o como um seletor e concatena countId.substring(1) em uma string HTML que é passada para a função .after() do jQuery. Um usuário autenticado que visualize a página de detalhes do fabricante ou do fornecedor pode disparar a execução de JavaScript arbitrário por meio de um nome manipulado, potencialmente expondo dados da sessão ou realizando ações não autorizadas.

Recomendações Atualizar para a versão 8.6.2.