CVE-2026-86773

Snipe-IT versiya 8.6.3 daxil olmaqla, updateLicense, updateConsumable, updateAccessory və updateModel son nöqtələrində (endpoints), həmçinin Predefined Kits üçün storeModel son nöqtəsində obyekt səviyyəli avtorizasiyanı həyata keçirmir. Mövcud yoxlama yalnız valideyn Predefined Kit-i (PredefinedKit üzərində yeniləmə) avtorizasiya edir, əlavə edilən alt obyekti isə etmir. Nəticədə, yalnız kits.edit icazəsinə malik olan autentifikasiya olunmuş istifadəçi, birbaşa oxumağa icazəsi olmayan (HTTP 403) Lisenziyanı, Consumable-ı, Aksesuarı və ya Aktiv Modelini Predefined Kit-ə əlavə edə bilər və daha sonra kit münasibət indeksi əlavə edilmiş obyektin adını həmin aşağı imtiyazlı istifadəçiyə açıqlayır. Bu, 8.6.2 versiyasında yalnız storeLicense, storeConsumable və storeAccessory metodlarını düzəldən CVE-2026-55478 boşluğunun update-path və storeModel qarşılığıdır. Qeyd edək ki, updateModel funksiyası 8.6.3 versiyasında kod səviyyəsində zəifliyə malik idi, lakin marşrut adına aid yazı xətası marşrutu mövcud olmayan kontroller metoduna bağladığı və HTTP 500 cavablarına səbəb olduğu üçün praktikada ona çatmaq mümkün deyildi. Problem Snipe-IT 8.7.0 versiyasında düzəldilmişdir.