CVE-2026-86763

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versões 7.0.12 até 8.6.3

Descrição Existe uma falha de bypass de autorização no componente de importação Livewire (AppLivewireImporter), montado na rota imports.index. O componente verifica a permissão geral de import apenas no momento da montagem, enquanto as propriedades computadas files() e activeFile() consultam a tabela de importações sem restringir os resultados por proprietário ou empresa. Consequentemente, qualquer usuário autenticado que não seja superusuário e possua a permissão de importação pode visualizar todos os registros de importação na instância, incluindo nomes de arquivos originais, caminhos de arquivos, tamanhos de arquivos, tipos de importação e carimbos de data/hora de criação. Além disso, um invasor pode usar a ação Livewire selectFile($id) com um ID de Importação auto-incrementado para acessar o registro de outro usuário, expondo dados de visualização, como o header row e o first row do CSV. Isso pode levar à divulgação de informações sensíveis, como dados pessoais, números de série de ativos e chaves de licença, podendo ultrapassar limites de empresa ou locatário em implantações com Suporte Completo a Múltiplas Empresas (FMCS). O impacto limita-se aos dados de visualização e não afeta superusuários.

Recomendações Atualize o Snipe-IT para a versão 8.7.0.