CVE-2026-86767

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versões anteriores a 8.7.0

Descrição Quando o Suporte Completo a Múltiplas Empresas (Full Multiple Company Support) está habilitado, a aplicação falha ao aplicar a filtragem de escopo de empresa no endpoint 'GET /hardware/requested'. Isso permite que usuários autenticados com a permissão assets.view acessem solicitações de ativos pendentes de todas as empresas. Esta falha possibilita a recuperação de dados entre locatários (cross-tenant), incluindo nomes de ativos solicitados, nomes de exibição e links de perfil dos solicitantes, locais e datas de check-in esperadas, sem a necessidade de manipulação de parâmetros.

Recomendações Atualize para a versão 8.7.0 ou posterior.