CVE-2026-86772

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versões anteriores a 8.7.0

Description Um problema de cross-site scripting armazenado existe na função formattedNameLink() dentro de DepartmentPresenter. Isso ocorre porque os nomes dos departamentos são renderizados sem a devida filtragem no ramo de fallback para usuários sem a permissão departments.view. Um invasor com a permissão departments.edit pode injetar scripts maliciosos nos nomes dos departamentos, que são executados nos navegadores de todos os membros do departamento ao carregarem a página My Assets.

Recommendations Atualize para a versão 8.7.0 ou posterior. Como medida de mitigação temporária, restrinja a permissão departments.edit apenas a administradores confiáveis.