CVE-2026-86755 in Snipe-IT
الملخص
بحسب VulDB • 09/09/2026
الإصدارات من Snipe-IT ما بين 4.2.0 و8.6.3 تعرض مسارات Laravel Passport المسجلة تلقائياً لرموز الوصول الشخصية (GET, POST, DELETE /oauth/personal-access-tokens*) باستخدام وسائط "web" و"auth:web" فقط، دون بوابات الأذونات self.api التي يفرضها Snipe-IT على نقاط النهاية الخاصة به (/account/api و/api/v1/account/personal-access-tokens). يمكن لأي مستخدم لديه جلسة ويب صالحة ورمز CSRF المقابل إرسال طلب POST إلى /oauth/personal-access-tokens لإنشاء رمز حامل طويل الأمد لحسابه الخاص، حتى عندما يمنع المسؤول إذن self.api. لا يزال الرمز الممنوح خاضعاً لسياسات التفويض الموجودة لكل نقطة نهاية، لذا فإن هذا ليس تصعيد امتياز؛ إنه يتغلب على التحكم الإداري المقصود لمنع الوصول عبر API/البرمجة عند مستوى الإذن الخاص بالمستخدم. تم إصلاحه في 8.7.0 (التغيير 3f74b8c)، الذي يسجل مسارات متفوقة محاطة بوسيط can:self.api.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.