CVE-2026-55482

ŚrednieCVSS 6.3

Opublikowano: 19/08/2026(UTC)Przetłumaczono: 20/08/2026(UTC)NVD NIST

Streszczenie

Snipe-IT przed wersją 8.4.1 umożliwia nie-superadministratorowi bezpośrednie przesłanie company_id w metodzie update() kontrolera BulkAssetsController, bez użycia Company::getIdForCurrentUser(). Pozwala to na przenoszenie zasobów między firmami, łamiąc izolację wielodostępową.

Ocena ryzyka

Ryzyko obejmuje naruszenie izolacji między firmami, co może prowadzić do nieautoryzowanego dostępu do zasobów innych organizacji.

Rekomendacja

Zaleca się aktualizację do wersji 8.4.1 lub nowszej oraz wymuszenie przypisywania firmy na podstawie bieżącego użytkownika.

Oryginalny opis (angielski, źródło NVD)

Snipe-IT is an IT asset/license management system. Prior to 8.4.1, a non-superadmin can use app/Http/Controllers/Assets/BulkAssetsController.php update() to submit company_id directly without Company::getIdForCurrentUser(), allowing assets to be moved across company boundaries and breaking multi-tenant isolation. This issue is fixed in version 8.4.1.