CVE-2026-86755 in Snipe-IT
要約
〜によって VulDB • 2026年09月09日
Snipe-IT のバージョン 4.2.0 から 8.6.3 では、Laravel Passport の自動登録された personal-access-token ルート（GET, POST, DELETE /oauth/personal-access-tokens*）が、「web」と「auth:web」ミドルウェアのみで保護されており、Snipe-IT が独自のトークンエンドポイント（/account/api および /api/v1/account/personal-access-tokens）に適用している self.api 権限ゲートがありません。有効な Web セッションと対応する CSRF トークンを保持する任意のユーザーは、管理者が self.api 権限を拒否した場合でも、/oauth/personal-access-tokens に対して POST リクエストを送信して自身のアカウント用の長期生存期間を持つ bearer token を発行できます。発行されたトークンは既存のエンドポイントごとの認可ポリシーの対象となるため、これは特権昇格ではありません；しかし、ユーザーの許可レベルにおける API やスクリプトによるアクセスをブロックすることを意図した管理制御を無効化します。この問題はバージョン 8.7.0（コミット 3f74b8c）で修正されました。ここでは can:self.api ミドルウェアでラップされた上書きルートが登録されます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.