CVE-2026-86760

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versões 8.2.0 até 8.6.x

Descrição Uma falha de autorização incorreta existe na função update() em app/Http/Controllers/Users/UsersController. A rota de edição de usuário único atribui o campo activated do payload da requisição antes de avaliar o gate de autorização canEditAuthFields. Isso permite que um usuário não administrador autenticado, com a permissão users.edit no escopo da empresa do alvo, envie uma requisição PUT para o endpoint '/users/{id}' e altere a flag activated de qualquer usuário, incluindo contas de administrador e superusuário. A desativação de um administrador resulta no bloqueio dessa conta no aplicativo. Apenas o campo activated é afetado; outros dados sensíveis e a API não são impactados.

Recomendações Atualizar para a versão 8.7.0.