CVE-2026-86763

Snipe-IT versiyaları >= 7.0.12 və <= 8.6.3 Livewire importer komponentində (imports.index marşrutunda quraşdırılmış App\Livewire\Importer) autentifikasiyadan yan keçmə zəifliyi ehtiva edir. Komponent yalnız quraşdırma zamanı geniş 'import' səlahiyyətini yoxlayırdı, lakin onun files() və activeFile() hesablanmış xüsusiyyətləri sahiblik və ya şirkət məhdudiyyəti olmadan imports cədvəlindən sorğular göndərirdi. Nəticədə, import icazəsi olan hər hansı autentifikasiya olunmuş qeyri-superistifadəçi instansiyadakı bütün Import qeydlərini (orijinal fayl adı, file_path, filesize, import_type və yaradılma vaxtı) görə bilərdi və başqa istifadəçinin qeydini yükləmək üçün hər hansı avtomatik artan Import ID ilə selectFile($id) Livewire hərəkətini çağıra bilərdi ki, bu da həmin qeydin saxlanılan önizləmə məlumatlarını (header_row sütun başlıqları və CSV-nin ilk məlumat sətiri olan first_row) üzə çıxarırdı. İdxal edilən CSV faylları adətən şəxsi məlumatlar, aktiv seriya nömrələri və lisenziya açarları ehtiva etdiyi üçün bu, həssas məlumatların ifşasına səbəb olur; Full Multiple Companies Support (FMCS) tətbiqlərində isə ifşa şirkət/tenant sərhədlərini də aşır. Təsir tam CSV faylına deyil, yalnız önizləmə məlumatlarına məhdudlaşır və superistifadəçilər bundan təsirlənməmişdir. Problem, qeyri-superistifadəçilərin oxuma əməliyyatlarını çağırıcının sahib olduğu idxallarla məhdudlaşdıran 8.7.0 versiyasında düzəldilmişdir.