CVE-2026-86755 in Snipe-IT
Sumário
de VulDB • 09/09/2026
As versões do Snipe-IT de 4.2.0 a 8.6.3 expõem as rotas auto-registradas do Laravel Passport para personal-access-token (GET, POST, DELETE /oauth/personal-access-tokens*) com apenas os middlewares 'web' e 'auth:web', sem o gate de permissão self.api que o Snipe-IT aplica aos seus próprios endpoints de token (/account/api e /api/v1/account/personal-access-tokens). Qualquer usuário com uma sessão web válida e o respectivo CSRF token pode fazer POST em /oauth/personal-access-tokens e gerar um bearer token de longa duração para sua própria conta, mesmo quando um administrador negou a permissão self.api. O token emitido ainda está sujeito às políticas de autorização por endpoint existentes, portanto não se trata de privilege escalation; ele contorna o controle administrativo destinado a bloquear acesso via API/script no nível de permissão do próprio usuário. Corrigido na versão 8.7.0 (commit 3f74b8c), que registra rotas substitutas protegidas pelo middleware can:self.api.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.