JVNDB-2026-033534

Grokability, Inc.のSnipe-ITにおける未チェックの戻り値に関する脆弱性

Snipe-ITのバージョン8.6.3以下（8.7.0で修正）では、ImageUploadRequest::handleImages()内のストレージ書き込み操作の戻り値をチェックしていません。Laravelのデフォルトディスクモードは失敗時に例外を投げないため、Storage::disk('public')-＞put(...)の呼び出しが静かに失敗しても、アプリケーションはdeleteExistingImage()を通じて前の画像を削除し、新しいファイル名にモデルの画像参照を再割り当ておよび永続化してしまいます。これにより既存画像が破壊され、書き込まれていないファイルを指すデータベース上の行が残ってしまいます。同様の問題はdeleteExistingImage()内にも存在し、失敗したStorage::delete()呼び出しにおいてもモデルの画像フィールドがnull化されるため、ディスク上のファイルが孤立します。この状況は攻撃者が直接制御できるものではなく、正当な認証ユーザーが画像アップロードを行う際にストレージバックエンドが一時的に失敗した場合（例えばS3のネットワークエラー、ローカルファイルシステムの権限問題、クォータ超過など）に発生します。その結果、以前の画像が回復不能に失われ、データベースとディスク間で修正が必要な永続的な不整合が生じることになります。ImageUploadRequest::handleImagesを経由するコントローラーに関連するすべてのモデル（資産、資産モデル、ユーザー、会社、製造業者、ロケーション、カテゴリ、サプライヤー、部門、およびその他の画像を保持するモデル）が影響を受けます。

Grokability, Inc.

• Snipe-IT 8.7.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Failed Image Write Destroys Existing Image and Leaves Model Pointing at Phantom File  Advisory  grokability/snipe-it  GitHub

VulnCheck

• VulnCheck : snipe-it before 8.7.0 Data Loss via Failed Image Write  | Advisories | VulnCheck

1. 未チェックの戻り値(CWE-252) [その他]

1. CVE-2026-86749

1. National Vulnerability Database (NVD) : CVE-2026-86749

• [2026年09月15日]
    掲載