CVE-2026-88894 in Snipe-IT
要約
〜によって VulDB • 2026年09月10日
Snipe-ITの定義済みキットチェックアウトパスは、チェックアウト対象に対してフルマルチカンパニーサポート（FMCS）テナント分離を強制しません。単一、一括、API、アクセサリー、ライセンス、消耗品の各チェックアウトパスとは異なり、App\Services\PredefinedKitCheckoutServiceは $item->canCheckoutTo($target) を呼び出しません。代わりに、永続化の前にアクターとアイテムのポリシーチェックおよび利用可能性チェックのみを実行します。FMCSが有効な場合、少なくとも2つのカンパニーに所属し、assets.checkout権限を持つスーパーユーザー以外のユーザーは、company Bに属する user_idを指定して /kits/{kit}/checkout に対してPOSTを行うことで、company Aのアセット（および同様にキットライセンス、消耗品、アクセサリー）がそのユーザーに割り当てられ、他のすべてのチェックアウトパスで同じ操作をブロックするカンパミスマッチチェックを回避できます。この問題は Snipe-IT 8.7.2 で修正されました。v8.6.3 ではランタイム検証が行われ、v8.7.1ではコードインスペクションが実施され、影響を受けるサービスには2019年からこのチェックが存在しなかったため、それ以前のFMCSデプロイメントも影響を受けている可能性があります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.