CVE-2026-86755 in Snipe-IT
요약
\~에 의해 VulDB • 2026. 09. 09.
Snipe-IT 버전 4.2.0부터 8.6.3까지는 Laravel Passport의 자동 등록 개인 액세스 토큰 라우트(GET, POST, DELETE /oauth/personal-access-tokens*)가 'web' 및 'auth:web' 미들웨어로만 보호되어 있으며, Snipe-IT가 자체 토큰 엔드포인트(/account/api 및 /api/v1/account/personal-access-tokens)에 적용하는 self.api 권한 게이트가 없습니다. 유효한 웹 세션과 해당 CSRF 토큰을 가진 모든 사용자는 /oauth/personal-access-tokens로 POST하여 자신의 계정에 대해 장기 지속되는 bearer token을 발급할 수 있으며, 이는 관리자가 self.api 권한을 거부했더라도 마찬가지입니다. 발행된 토큰은 기존 엔드포인트별 인증 정책의 영향을 받으므로, 이는 privilege escalation이 아닙니다. 이 취약점은 사용자의 자체 권한 수준에서 API/스크립트 접근을 차단하려는 관리자 통제를 무력화합니다. 8.7.0(커밋 3f74b8c)에서 can:self.api 미들웨어로 감싸진 오버라이딩 라우트를 등록하여 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.