CVE-2026-86755 in Snipe-IT
Сводка
по VulDB • 09.09.2026
В версиях Snipe-IT от 4.2.0 до 8.6.3 маршруты автоматической регистрации личных токенов доступа Laravel Passport (GET, POST, DELETE /oauth/personal-access-tokens*) доступны только с использованием промежуточного программного обеспечения 'web' и 'auth:web', без шлюза разрешения self.api, который Snipe-IT применяет к собственным конечным точкам токенов (/account/api и /api/v1/account/personal-access-tokens). Любой пользователь с действительной веб-сессией и соответствующим CSRF-токеном может отправить POST-запрос на /oauth/personal-access-tokens для создания долгоживущего bearer-токена для своей учетной записи, даже если администратор отклонил разрешение self.api. Выданный токен по-прежнему подчиняется существующим политикам авторизации для каждой конечной точки, поэтому это не является повышением привилегий; однако это обходит административный контроль, предназначенный для блокировки доступа через API/скрипты на уровне разрешений самого пользователя. Исправлено в версии 8.7.0 (коммит 3f74b8c), где зарегистрированы переопределяющие маршруты, обернутые промежуточным программным обеспечением can:self.api.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.