CVE-2026-116199
Beschrijving NL
Snipe-IT voor 8.6.3 bevat een authenticatie-bypass in GoogleAuthController:: handleGoogleCallback, die zich aanmeldt bij de gebruiker wiens gebruikersnaam overeenkomt met de e-mail van het Google-account zonder de geactiveerde vlag af te dwingen. Gedeactiveerde gebruikers met e-mailvormige gebruikersnamen en nog steeds levende Google-identiteiten kunnen zich aanmelden via Google SSO en sessies herwinnen op hun oorspronkelijke toestemmingsniveau, inclusief beheerder.
Origineel (Engels) tonen
Snipe-IT before 8.6.3 contains an authentication bypass in GoogleAuthController::handleGoogleCallback, which logs in the user whose username matches the Google account email without enforcing the activated flag. Deactivated users with email-shaped usernames and still-live Google identities can sign in via Google SSO and regain sessions at their original permission level, including admin.