PT-2026-51606 · Snipe-It · Snipe-It

Iltosec + 1 · Publicado 2026-06-23 · Atualizado 2026-06-23 · CVE-2026-48493

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versões anteriores a 8.6.0

Descrição Um usuário com permissões users.edit e de API pode escalar seus privilégios enviando uma requisição PATCH para o endpoint '/api/v1/users/{their own id}'. Isso permite que o usuário conceda a si mesmo várias permissões, como assets.view, assets.create, reports.view e capacidades de importação, embora não possa conceder a si mesmo status de administrador ou superusuário.

Recomendações Atualizar para a versão 8.6.0.

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2026-48493

GHSA-52FW-7FW2-FMV5

Produtos afetados

Snipe-It

Referências · 7

• https://github.com/grokability/snipe-it/security/advisories/GHSA-52fw-7fw2-fmv5 · Nota
• https://github.com/grokability/snipe-it/pull/19024 · Nota
• https://github.com/grokability/snipe-it · Nota
• https://twitter.com/CVEnew/status/2069566774257791428 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-48493 · Nota de Segurança
• https://twitter.com/infoflowcloud/status/2069567728998928388 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-52fw-7fw2-fmv5 · Aviso do Fabricante