CVE-2026-86747

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versões anteriores a 8.7.0

Description Quando o Suporte Completo a Múltiplas Empresas (FMCS) está habilitado, certos endpoints de aceitação de relatórios não são corretamente delimitados. Um usuário autenticado com a permissão reports.view pode enviar e-mails de lembrete de aceitação ou excluir permanentemente qualquer registro de aceitação pendente em toda a instalação, independentemente da empresa proprietária. Isso ocorre porque a função currentUserCanAccessAcceptance() no ReportsController permite incorretamente o acesso para usuários do tipo pivot-only (usuários associados a empresas via tabela pivot cujo company id é NULL), e versões anteriores a 8.6.3 carecem totalmente dessa proteção. Os endpoints afetados são POST /reports/unaccepted assets/sent reminder (via sentAssetAcceptanceReminder()) e DELETE /reports/unaccepted assets/{acceptanceId}/delete (via deleteAssetAcceptance()). A exclusão é destrutiva e remove a trilha de auditoria de aceitação, enquanto o e-mail de lembrete pode expor nomes de itens e metadados de atribuição entre empresas. Os IDs de aceitação são inteiros sequenciais e podem ser enumerados.

Recommendations Atualize para a versão 8.7.0. Como medida paliativa temporária, restrinja o acesso aos endpoints POST /reports/unaccepted assets/sent reminder e DELETE /reports/unaccepted assets/{acceptanceId}/delete para usuários com a permissão reports.view até que a atualização seja aplicada.