JVNDB-2026-033533

Grokability, Inc.のSnipe-ITにおける不正な認証に関する脆弱性

Snipe-ITのバージョン8.6.3以下（8.7.0で修正済み）は、REST API経由でユーザー情報を保存する前に会社割り当ての認可を検証しません。Api\UsersController::store()および::update()では、リクエストからユーザー情報を取得して保存した後に、リクエストされたcompany_idやcompany_ids[]の値が実行者の許可された会社（Company::getIdsForCurrentUser()）と照合されます。Full Multiple Companies Support（FMCS）を利用している環境では、スーパーユーザーでないusers.create権限保持者（または対象ユーザーに対するusers.edit権限保持者）が、自身の範囲外の会社識別子を含む（許可されたIDと外部IDの混在も可能）会社IDを送信できます。そのため、認可チェックの前に該当アカウントの行がデータベースに保存されてしまいます。null_company_is_floater=1が設定されている場合、事後のフィルタリングによって空の会社ピボットが残り、アカウントは「フローター」として永続化されます。これにより、テナント間を越えた可視性を持つユーザーアカウントの作成や移動が可能になります。

Grokability, Inc.

• Snipe-IT 8.7.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : API User Create/Update Persists Cross-Tenant Company Assignment Before Authorization  Advisory  grokability/snipe-it  GitHub

VulnCheck

• VulnCheck : snipe-it before 8.7.0 Authorization Bypass via API User Create/Update  | Advisories | VulnCheck

1. 不正な認証(CWE-863) [その他]

1. CVE-2026-86750

1. National Vulnerability Database (NVD) : CVE-2026-86750

• [2026年09月15日]
    掲載