CVE-2026-88894

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versões anteriores a 8.7.2

Descrição Quando o Suporte Completo a Múltiplas Empresas (FMCS) está habilitado, o caminho de checkout de kit predefinido não impõe o isolamento de locatário no alvo do checkout. A função PredefinedKitCheckoutService não chama $item->canCheckoutTo($target), realizando apenas verificações de disponibilidade e de política entre ator e item. Isso permite que um não-superusuário com permissões de assets.checkout que pertença a pelo menos duas empresas utilize o endpoint '/kits/{kit}/checkout' para atribuir ativos, licenças, consumíveis ou acessórios de uma empresa a um usuário pertencente a uma empresa diferente, fornecendo o user id desse usuário.

Recomendações Atualizar para a versão 8.7.2.