CVE-2026-86758
⚪ Do wiadomości
Błąd w Snipe-IT umożliwia dostęp do kluczy licencyjnych bez odpowiednich uprawnień.
CVSS
6.5
EPSS
0.2%
Exploit
poc
Vendor
snipeitapp
Opis źródłowy (NVD)
Snipe-IT before 8.7.0 fails to properly enforce the viewKeys authorization gate in CSV export and API index endpoints, allowing authenticated users with only licenses.view permission to access product keys. Attackers can download all license keys in bulk via CSV export or validate candidate keys through API response discrepancies without needing the viewKeys permission.
exploit
Brak patcha
Źródła i daty
| Źródło | Wartość |
|---|---|
| NVD – CVSS | 6.5 |
| CISA KEV (aktywnie wykorzystywane) | Nie |
| FIRST EPSS (prawdopodobieństwo exploita) | 0.2% |
| Opublikowano (NVD) | 2026-09-09 14:17:25 UTC |
| Ostatnia modyfikacja (NVD) | 2026-09-16 20:26:12 UTC |
Referencje
- https://github.com/grokability/snipe-it/security/advisories/GHSA-5jcj-c9p3-82q7 ([email protected]) [Exploit, Vendor Advisory]
- https://www.vulncheck.com/advisories/snipe-it-before-8.7.0-license-key-exposure-via-csv-export ([email protected]) [Third Party Advisory]