CVE-2026-86750

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versões anteriores a 8.7.0

Descrição Ocorre uma validação insuficiente da autorização de atribuição de empresa ao persistir registros de usuário via REST API. Nas funções store() e update() de ApiUsersController, os registros de usuário são salvos antes que as variáveis company id ou company ids[] sejam filtradas em relação às empresas permitidas do ator através de Company::getIdsForCurrentUser(). Em instalações que utilizam o Full Multiple Companies Support (FMCS), um não-superusuário com permissões users.create ou users.edit pode enviar identificadores de empresas fora de seu escopo autorizado. Se a configuração null company is floater=1 estiver ativa, a conta pode ser persistida como um floater com visibilidade entre empresas, permitindo a criação ou realocação de contas de usuário entre limites de locatários.

Recomendações Atualizar para a versão 8.7.0.