PT-2026-89028

CVE-2026-86759

Publicado

2026-09-09

Atualizado

2026-09-20

Descrição por

CVSS 3.1

7.1

Alta

MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:L

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versões anteriores a 8.7.0

Descrição Existe uma falha de autorização no endpoint 'POST /hardware/history', que permite que qualquer usuário autenticado reatribua ativos arbitrários e modifique logs de auditoria. Ao enviar um arquivo CSV, um invasor pode reatribuir ativos entre diferentes empresas e injetar entradas fraudulentas no rastro de auditoria, comprometendo a integridade e a responsabilidade do inventário.

Recomendações Atualize para a versão 8.7.0 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint 'POST /hardware/history'.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Pavelkohout396

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-862: Missing Authorization

Identificadores relacionados