CVE-2026-86763 in Snipe-IT
要約
〜によって VulDB • 2026年09月09日
Snipe-IT のバージョン >= 7.0.12 および <= 8.6.3 には、Livewire インポーターコンポーネント（App\Livewire\Importer、imports.index ルートにマウント）における認可のバイパスが存在する。このコンポーネントは、マウント時に広範な 'import' 権限のみをチェックしていたが、その files() および activeFile() の computed properties は、所有者や会社スコープを指定せずに imports テーブル照会を行っていた。そのため、インポート権限を持つ認証済みユーザー（スーパーユーザー以外）は、インスタンス上のすべての Import レコード（元のファイル名、file_path、filesize、import_type、作成タイムスタンプ）を表示でき、任意の自動採番された Import ID を使用して selectFile($id) Livewire アクションを呼び出し、他のユーザーのレコードを読み込むことで、保存されているプレビューデータ（header_row の列見出しおよび first_row：CSV の最初のデータ行）が露出する。インポート用 CSV には一般的に個人データ、資産シリアル番号、ライセンスキーが含まれるため、これは機密情報の漏洩につながる。Full Multiple Companies Support (FMCS) デプロイメントでは、この情報開示は会社/テナントの境界を越える可能性がある。影響範囲はプレビューデータに限られ、完全な CSV ファイルには及ばず、スーパーユーザーへの影響はない。バージョン 8.7.0 で修正されており、非スーパーユーザーによる読み取りが呼び出し元の所有するインポートにスコープされるようになった。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.