CVE-2026-86766

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versões anteriores a 8.7.0

Description Uma condição de corrida conhecida como TOCTOU (Time-of-Check to Time-of-Use) existe no endpoint de API de checkout de consumíveis 'POST /api/v1/consumables/{consumable id}/checkout'. O sistema valida a quantidade solicitada em relação às unidades restantes antes do início da transação do banco de dados, mas não bloqueia a linha do consumível nem re-verifica a disponibilidade durante a transação. Isso permite que um usuário autenticado com permissões de checkout envie solicitações simultâneas que ignoram as verificações de disponibilidade, resultando em superalocação de estoque e níveis de inventário negativos.

Recommendations Atualizar para a versão 8.7.0.