JVNDB-2026-029746

Grokability, Inc.のSnipe-ITにおける複数の脆弱性

Snipe-IT 8.6.0より前のバージョンには、資産のチェックアウトリクエストのキャンセルエンドポイントにおいて認可バイパス（不適切な直接オブジェクト参照）の脆弱性が存在します。cancel_by_adminおよびrequestingUserの値はユーザーが制御可能なURLパスセグメントから読み取られ、サーバー側の認可チェックを経ずに使用されるため、認証済みの権限の低いユーザーであってもcancel_by_adminに空でない値を渡すことでリクエスト所有権の確認を回避し、他のユーザーの保留中のチェックアウトリクエストをキャンセルすることが可能です。資産およびユーザーの識別子が連続した整数になっているため、攻撃者はこれらを列挙してすべての保留中のチェックアウトリクエストをキャンセルし、資産リクエストのワークフローを妨害するおそれがあります。この問題はSnipe-IT 8.6.0で修正されました。

Grokability, Inc.

• Snipe-IT 8.6.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Tenable, Inc.

• Tenable Product Security Advisories : Snipe-IT Checkout Request Cancellation IDOR - Research Advisory | Tenable

1. ユーザ制御の鍵による認証回避(CWE-639) [その他]
2. セキュリティ決定の信頼できない入力への依存(CWE-807) [その他]

1. CVE-2026-19579

1. National Vulnerability Database (NVD) : CVE-2026-19579
2. 関連文書 : Release v8.6.0  grokability/snipe-it  GitHub

• [2026年08月24日]
    掲載