PT-2026-89023

CVE-2026-86754

Publicado

2026-09-09

Atualizado

2026-09-20

Descrição por

CVSS 4.0

8.5

Alta

MétricasAV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versões anteriores a 8.7.0

Description O controle de acesso insuficiente nas rotas de gerenciamento de clientes OAuth do Laravel Passport permite que qualquer usuário autenticado registre clientes OAuth usando URIs de redirecionamento controladas por um invasor. Isso pode levar a um cenário onde administradores são enganados ao aprovar telas de consentimento, permitindo a troca de códigos de autorização por tokens bearer. Esses tokens podem herdar permissões completas de API administrativa com um período de validade de até 40 anos.

Recommendations Atualize para a versão 8.7.0 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Pizzastev3

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-863: Incorrect Authorization

Identificadores relacionados