PT-2026-57271 · Snipe-It · Snipe-It

Publicado 2026-07-10 · Atualizado 2026-07-10 · CVE-2026-55843

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.0

Alta

Vetor base

AV:N/AC:L/AT:N/PR:H/UI:N/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versões anteriores a 8.6.0

Description No sistema de gerenciamento de ativos e licenças de TI, a função update() dentro do UsersController lida incorretamente com campos de solicitação de permissão ausentes quando processados através de NormalizePermissionsPayloadAction e PreserveUnauthorizedPrivilegedPermissionsAction. Este comportamento permite que um administrador que atualiza outro administrador, ou um usuário com privilégios users.edit que atualiza uma conta regular, sobrescreva as permissões de um usuário alvo com um resultado esparso, removendo efetivamente suas permissões administrativas ou granulares.

Recommendations Atualizar para a versão 8.6.0.

Correção

Improper Privilege Management

Enumeração de Fraquezas

CWE-269

Identificadores relacionados

CVE-2026-55843

Produtos afetados

Snipe-It

Referências · 6

• https://github.com/grokability/snipe-it/security/advisories/GHSA-j5g3-42wp-gqm3 · Aviso do Fabricante
• https://github.com/grokability/snipe-it/releases/tag/v8.6.0 · Nota
• https://github.com/grokability/snipe-it/commit/1cff2d67aabd00ee51d864c1d7fb717494c1d6ad · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-55843 · Nota de Segurança
• https://twitter.com/infoflowcloud/status/2075667902275993795 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2075666972084203520 · Publicação no Twitter