CVE-2026-116198
Beschrijving NL
Snipe-IT voor 8.7.0 bevat een ontbrekende coderingskwetsbaarheid in ApiAssetsController::store die platte tekst schrijft naar kolommen met gecodeerde gemarkeerde aangepaste velden wanneer bellers geen assets.view.encrypted_custom_fields hebben. Geverifieerde API-gebruikers zonder die toestemming kunnen activa maken waarvan de gevoelige aangepaste veldwaarden onversleuteld in de database blijven bestaan, waardoor ze worden blootgesteld via back-ups, replica's of directe databasetoegang.
Origineel (Engels) tonen
Snipe-IT before 8.7.0 contains a missing encryption vulnerability in ApiAssetsController::store that writes plaintext into encrypted-flagged custom-field columns when callers lack assets.view.encrypted_custom_fields. Authenticated API users without that permission can create assets whose sensitive custom-field values persist unencrypted in the database, exposing them through backups, replicas, or direct database access.