CVE-2026-86773 in Snipe-IT
要約
〜によって VulDB • 2026年09月09日
Snipe-IT のバージョン 8.6.3 までは、updateLicense、updateConsumable、updateAccessory、および updateModel エンドポイントにおいて、オブジェクトレベルの認可チェックが行われていません。また、Predefined Kits（定義済みキット）に対する storeModel エンドポイントでも同様の問題があります。既存のチェックは親となる Predefined Kit への更新操作のみを認可しており、付与される子オブジェクトについては認可を行っていません。その結果、kits.edit パーミッションを持つ認証済みユーザーは、直接アクセスすると HTTP 403（Forbidden）で拒否される License、Consumable、Accessory、または Asset Model を、Predefined Kit に紐付けることができます。その後、キットの関連付けインデックスを通じて、低権限ユーザーに対して紐付いたオブジェクトの名前が情報漏洩します。これは CVE-2026-55478 の update パスおよび storeModel に対応する脆弱性であり、CVE-2026-55478 はバージョン 8.6.2 で storeLicense、storeConsumable、および storeAccessory メソッドのみを修正したものです。なお、updateModel はバージョン 8.6.3 でコードレベルの脆弱性が存在しましたが、ルート名のタイプミスにより存在しないコントローラーメソッドにバインドされていたため、実際には到達不可能であり HTTP 500 エラーを引き起こしていました。この問題は Snipe-IT バージョン 8.7.0 で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.