CVE-2026-86749

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versões anteriores a 8.7.0

Description Existe um problema onde a aplicação não verifica o valor de retorno das operações de gravação de armazenamento na função ImageUploadRequest::handleImages(). Devido ao modo de disco padrão do framework Laravel não lançar exceções em caso de falha, uma chamada Storage::disk('public')->put(...) malsucedida faz com que a aplicação exclua a imagem anterior através de deleteExistingImage() e atualize a referência no banco de dados para um novo nome de arquivo que nunca foi efetivamente gravado no disco. Da mesma forma, uma falha em Storage::delete() dentro de deleteExistingImage() pode anular o campo de imagem no banco de dados, deixando o arquivo órfão no disco. Esta condição ocorre quando um usuário autenticado faz o upload de uma imagem durante uma falha no backend de armazenamento, como erros de rede do S3, problemas de permissão do sistema de arquivos ou exaustão de cota, resultando em perda irrecuperável de dados e inconsistência no banco de dados. Isso afeta múltiplos modelos, incluindo ativos, usuários, empresas, fabricantes, locais, categorias, fornecedores e departamentos.

Recommendations Atualizar para a versão 8.7.0.