JVNDB-2026-033536

Grokability, Inc.のSnipe-ITにおける不正な認証に関する脆弱性

Snipe-ITはオープンソースのIT資産管理システムです。バージョン8.6.3以下では、Full Multiple Company Support（FMCS）が有効な場合に、レポート受諾エンドポイントPOST /reports/unaccepted_assets/sent_reminder（ReportsController::sentAssetAcceptanceReminder）およびDELETE /reports/unaccepted_assets/{acceptanceId}/delete（ReportsController::deleteAssetAcceptance）が正しくスコープされていません。バージョン8.6.3では、ガードReportsController::currentUserCanAccessAcceptance()が「return true」で早期終了し、これはすべてのpivot-onlyユーザー（company_userピボットテーブルを経由して企業に関連付けられているが、usersテーブルのusers.company_id列がNULLであるユーザー）に該当します。8.6.3以前のバージョンではこのガードがまったく存在しませんでした。その結果、reports.view権限を持つ認証ユーザーは、どの企業が基となるチェックアウト可能アイテムを所有しているかに関わらず、インストール内の任意の保留中の受諾レコードに対して受諾リマインダーメールを送信したり、恒久的に削除したりすることが可能です。削除は破壊的であり、該当アイテムの受諾監査履歴を失うことになります。また、リマインダーメールは受け取り手に対して限定的なクロスカンパニーの受諾コンテキスト（アイテム名や割り当てメタデータ）を公開します。受諾IDは連番の整数であり、列挙可能となっています。この問題はバージョン8.7.0で修正されています。

Grokability, Inc.

• Snipe-IT 8.7.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Reports: Pivot-Only User Bypasses FMCS Scope on Acceptance Reminder and Delete Endpoints  Advisory  grokability/snipe-it  GitHub

VulnCheck

• VulnCheck : snipe-it before 8.7.0 Authorization Bypass via Pivot-Only User  | Advisories | VulnCheck

1. 不正な認証(CWE-863) [その他]

1. CVE-2026-86747

1. National Vulnerability Database (NVD) : CVE-2026-86747

• [2026年09月15日]
    掲載