JVNDB-2026-032882

Grokability, Inc.のSnipe-ITにおけるOS コマンドインジェクションの脆弱性

Snipe-IT 8.7.0以前のバージョンでは、アップロードされたバックアップアーカイブからのSQLエントリを--binary-modeフラグなしでMySQL/MariaDBコマンドラインクライアント（`mysql`）に直接ストリームしているため、クライアントは`\!`のようなバックスラッシュで始まるコマンド行をローカルシェルコマンドとして解釈します。認証済みのスーパ管理者が細工されたZIPバックアップ（POST /admin/backups/upload）をアップロードし、オプションの`clean`サニタイザーパラメータなしでリストア（POST /admin/backups/restore/{filename}）を実行すると（デフォルトで適用されないのはDB_SANITIZE_BY_DEFAULTがfalseに設定されているため）、ウェブアプリケーションのOSユーザーとして任意のOSコマンドを実行でき、データベース資格情報やAPP_KEYを含むアプリケーションの秘密情報が漏洩して、アプリケーションで書き込み可能なファイルやデータを改ざん可能になります。バージョン8.7.0では、クライアント呼び出しに--binary-modeフラグが追加されています。

Grokability, Inc.

• Snipe-IT 8.7.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Authenticated remote code execution through MariaDB client commands in backup restore  Advisory  grokability/snipe-it  GitHub

VulnCheck

• VulnCheck : Snipe-IT before 8.7.0 Remote Code Execution via Backup Restore  | Advisories | VulnCheck

1. OSコマンドインジェクション(CWE-78) [その他]

1. CVE-2026-86733

1. National Vulnerability Database (NVD) : CVE-2026-86733

• [2026年09月11日]
    掲載