CVE-2026-48492
Açıklama
Snipe-IT bir BT varlık/lisans yönetim sistemidir. Versiyon 8.6.1 öncesinde, GET /api/v1/{object}/selectlist API uç noktası bir yetkilendirme kontrolünden yoksundur. İzinlerine bakılmaksızın Snipe-IT'ye giriş yapabilen herhangi bir kullanıcı, yalnızca web oturum çereziyle tüm kullanıcı hesaplarının sayfalandırılmış bir listesini alabilir. Herhangi bir API belirteci veya yüksek yetkiler gerekmez. Bu durum; eğer FMCS etkin değilse sistemdeki her aktif hesap için kullanıcı adlarını, görünen adları, çalışan numaralarını ve kullanıcı kimliklerini, FMCS etkinse ait oldukları şirket içindeki bu bilgileri açığa çıkarır. Versiyon 8.6.1 bir yama içermektedir.
Nasıl düzeltilir
- snipeitapp snipe-it8.6.0 ya da sonraki bir sürüm
- snipe/snipe-it8.5.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| snipeitapp snipe-it | v < 8.6.0 | 8.6.0 |
| snipe/snipe-itPackagist | v < 8.5.1 | 8.5.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.