CVE-2026-86738

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versões anteriores a 8.7.0

Descrição A sanitização incompleta no campo de CSS Personalizado permite a injeção de CSS, pois a codificação HTML em caracteres de maior-que e aspas duplas é revertida. Superusuários podem injetar payloads de CSS maliciosos usando referências @import e url(). Isso permite a exfiltração de tokens CSRF (Cross-Site Request Forgery)—tokens exclusivos usados para evitar que comandos não autorizados sejam transmitidos de um usuário em quem a aplicação web confia—de outros superusuários via regras de seletor de atributos, o que pode levar ao sequestro de conta.

Recomendações Atualize para a versão 8.7.0 ou posterior.