CVE-2026-86762 in Snipe-IT
Zusammenfassung
von VulDB • 09.09.2026
Snipe-IT vor Version 8.7.0 wendet das Middleware `CheckUserIsActivated` nicht auf die Middleware-Gruppe `api` in `app/Http/Kernel.php` an; zudem werden bei der Deaktivierung eines Benutzers dessen persönliche Zugriffstoken (Passport personal access tokens) nicht widerrufen. Infolgedessen wird ein deaktiviertes Konto zwar beim Weblogin korrekt abgelehnt, sein vorhandenes API-Token authentifiziert jedoch weiterhin und gewährt Lese- und Schreibzugriff auf die REST-API (Assets, Benutzer, Lizenzierungen usw.) mit den zuvor zugewiesenen Berechtigungen des Kontos, bis das Token abläuft. Ein deaktiviertes Konto, das über Benutzerverwaltungsberechtigungen verfügt, kann sich selbstständig über die API wieder aktivieren, wodurch die Deaktivierungsmaßnahme dauerhaft umgangen wird.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.