CVE-2026-86765

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versões anteriores a 8.7.0

Description Usuários autenticados com permissões de edição, mas sem permissões de checkout, podem ignorar as verificações de autorização ao atualizar ativos. Ao enviar parâmetros específicos para o endpoint 'PATCH /api/v1/hardware/{id}', um invasor pode reatribuir ativos, ignorar procedimentos de check-in e alterar registros de custódia. Os parâmetros afetados são assigned user, assigned asset e assigned location.

Recommendations Atualize para a versão 8.7.0 ou posterior. Restrinja o uso dos parâmetros assigned user, assigned asset e assigned location no endpoint 'PATCH /api/v1/hardware/{id}' para usuários sem permissões de checkout.