Към съдържанието
Търсене

CVE-2026-48492: grokability snipe-it, заобикаляне на вход и права

4.9

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Snipe-IT is an IT asset/license management system. Prior to version 8.6.1, the GET /api/v1/{object}/selectlist API endpoint is missing an authorization check. Any user who can log into Snipe-IT - regardless of permissions - can retrieve a paginated list of all user accounts using only their web session cookie. No API token or elevated permissions are required. This exposes usernames, display names, employee numbers, and user IDs for every active account in the system if FMCS is not enabled, and within the company they belong to if FMCS is enabled. Version 8.6.1 contains a patch.

Засегнати продукти

  • grokability snipe-it: < 8.5.1

Вид слабост

История

  • 8 юли 2026 Публикувано

Други уязвимости в grokability snipe-it

Първоизточници

CVE-2026-48492: grokability snipe-it, заобикаляне на вход и права | freedomonline.bg