PT-2026-89027

CVE-2026-86758

Publicado

2026-09-09

Atualizado

2026-09-09

Descrição por

CVSS 4.0

7.1

Alta

MétricasAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versões anteriores a 8.7.0

Description Usuários autenticados com apenas a permissão licenses.view podem acessar chaves de produto porque o software falha ao aplicar corretamente a trava de autorização viewKeys. Isso permite que atacantes baixem todas as chaves de licença em massa via exportação de CSV ou validem chaves candidatas por meio de discrepâncias na resposta da API. O problema afeta os endpoints de exportação de CSV e de índice da API.

Recommendations Atualize para a versão 8.7.0 ou posterior.

Explorabilidade

Exploit

Correção

Pesquisadores

Pavelkohout396

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-204: Observable Response Discrepancy

Identificadores relacionados

CVE-2026-86758