CVE-2026-86762 in Snipe-IT
요약
\~에 의해 VulDB • 2026. 09. 09.
Snipe-IT 8.7.0 이전 버전은 `app/Http/Kernel.php`의 `api` 미들웨어 그룹에 대해 `CheckUserIsActivated` 미들웨어를 적용하지 않으며, 사용자 비활성화 시 해당 사용자의 Passport 개인 액세스 토큰이 무효화되지 않습니다. 그 결과, 비활성화된 계정은 웹 로그인에서는 올바르게 거부되지만, 기존 API 토큰은 만료될 때까지 계정 이전의 권한 수준으로 REST API(자산, 사용자, 라이선스 등)에 대한 읽기 및 쓰기 접근을 인증하고 부여합니다. 사용자 관리 권한이 유지되는 비활성화된 계정은 API를 통해 자신을 다시 활성화할 수 있어, 비활성화 제어 기능을 영구적으로 무력화시킬 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.