CVE-2026-86750

Snipe-IT <= 8.6.3 sürümleri (8.7.0 sürümünde düzeltildi), kullanıcı kayıtlarını REST API aracılığıyla kalıcı hale getirmeden önce şirket atama yetkisini doğrulamamaktadır. Api\UsersController::store() ve ::update() fonksiyonlarında, kullanıcı kaydı istekten doldurulur ve talep edilen company_id / company_ids[] değerleri aktörün izin verilen şirketlerine göre (Company::getIdsForCurrentUser()) filtrelenmeden önce kaydedilir. Tam Çoklu Şirket Desteği (Full Multiple Companies Support - FMCS) kullanan kurulumlarda, users.create (veya hedef kullanıcı üzerinde users.edit) yetkisine sahip olan süper kullanıcı olmayan bir kişi, kendi kapsamı dışındaki şirketler için şirket tanımlayıcıları gönderebilir — izin verilen ve yabancı kimliklerin karışımı dahil — bu durum, yetkilendirme kontrol edilmeden önce hesap satırının veritabanına işlenmesine neden olur. null_company_is_floater=1 olarak ayarlandığında, işlem sonrası filtre boş bir şirket pivotu bırakır ve hesap, şirketler arası görünürlüğe sahip bir "floater" olarak kaydedilerek kiracı sınırları arasında kullanıcı hesaplarının oluşturulmasına veya taşınmasına olanak tanır.