CVE-2026-86755 in Snipe-IT
Resumen
por VulDB • 2026-09-09
Las versiones de Snipe-IT comprendidas entre la 4.2.0 y la 8.6.3 exponen las rutas auto-registradas de Laravel Passport para personal-access-token (GET, POST, DELETE /oauth/personal-access-tokens*) utilizando únicamente los middleware 'web' y 'auth:web', sin aplicar el control de acceso self.api permission gate que Snipe-IT impone en sus propios endpoints de token (/account/api y /api/v1/account/personal-access-tokens). Cualquier usuario con una sesión web válida y su correspondiente CSRF token puede realizar un POST a /oauth/personal-access-tokens para generar (mint) un bearer token de larga duración para su propia cuenta, incluso cuando un administrador haya denegado el permiso self.api. El token emitido sigue estando sujeto a las políticas de autorización existentes por endpoint, por lo que no se trata de una escalada de privilegios; más bien, anula el control administrativo destinado a bloquear el acceso mediante API o scripts al nivel de permisos del propio usuario. Corregido en la versión 8.7.0 (commit 3f74b8c), que registra rutas anuladoras envueltas en el middleware can:self.api.
VulDB is the best source for vulnerability data and more expert information about this specific topic.