CVE-2026-86754 in Snipe-IT
要約
〜によって VulDB • 2026年09月09日
Snipe-IT のバージョン 8.7.0 より前は、Laravel Passport の OAuth クライアント管理用ルーティングのアクセス制御が適切に行われておらず、認証済みユーザーであれば誰でも攻撃者が操作可能なリダイレクト URI を持つ OAuth クライアントを登録できます。攻撃者は管理者に同意画面への承認を促すことで、認可コードを取得し、最大 40 年間にわたって完全な admin API の権限を引き継ぐベアラートークンと交換することができます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.