CVE-2026-86759

7.1 Élevée

Publiée le 09/09/2026 à 16:17 · Modifiée le 20/09/2026 à 03:16 · Analysée par le NVD · Source : disclosure@vulncheck.com

Description

Snipe-IT versions before 8.7.0 fail to authorize the POST /hardware/history endpoint, allowing any authenticated user to reassign arbitrary assets and modify audit logs. Attackers can submit a CSV file to reassign assets across companies and inject fraudulent audit trail entries, compromising inventory integrity and accountability.

Traduire en français

Produits concernés

Scores CVSS

Version	Score	Source	Vecteur
4.0	7.1 Élevée	disclosure@vulncheck.com	`CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X`
3.1	7.1 Élevée	disclosure@vulncheck.com	`CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:L`

Faiblesses (CWE)

CWE-862

Références

https://github.com/grokability/snipe-it/security/advisories/GHSA-2232-926w-qvr9 ExploitVendor Advisory
https://www.vulncheck.com/advisories/snipe-it-before-8.7.0-missing-authorization-via-asset-history-csv-importer Third Party Advisory

CVE-2026-86759

Description

Produits concernés

Scores CVSS

Faiblesses (CWE)

Références

Ailleurs