7.1
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Snipe-IT before 8.7.1 fails to validate the length of the note field in the POST /account/accept/{acceptance} endpoint, allowing authenticated users to submit unbounded input that reaches synchronous CommonMark rendering. Attackers can submit large note values to exhaust PHP worker CPU and cause denial of service through resource exhaustion in the markdown parsing pipeline.
Засегнати продукти
- grokability snipe-it: преди 8.7.1; 8.7.1
Вид слабост
История
- 8 септември 2026 Публикувано
Други уязвимости в grokability snipe-it
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-86734
- https://nvd.nist.gov/vuln/detail/CVE-2026-86734
- https://github.com/grokability/snipe-it/security/advisories/GHSA-4vcv-fc5x-jjwv
- https://github.com/grokability/snipe-it/commit/66770cfe20cb135e2b7022c7a83d01e6783c914a
- https://www.vulncheck.com/advisories/snipe-it-before-8.7.1-denial-of-service-via-unbounded-note-field