JVNDB-2026-033537

Grokability, Inc.のSnipe-ITにおける権限管理に関する脆弱性

Snipe-ITのバージョン8.7.0未満には、Livewireコンポーネントにおいて認可をルートレベルでのみ強制し、コンポーネントのライフサイクルメソッド内では強制しないため、認可バイパスの脆弱性があります。有効な認証セッションを持つ攻撃者は、POST /livewire/updateを介して署名されたコンポーネントスナップショットをリプレイして、保護されたメソッドを呼び出し、権限を昇格させることができます。その結果、OAuthクライアントを作成し、パーソナルアクセストークンを発行し、機密性の高い管理者データにアクセスできるようになります。

Grokability, Inc.

• Snipe-IT 8.7.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Livewire Component Authorization Bypass via `POST /livewire/update` Snapshot Replay  Advisory  grokability/snipe-it  GitHub

VulnCheck

• VulnCheck : Snipe-IT before 8.7.0 Authorization Bypass via Livewire Snapshot Replay  | Advisories | VulnCheck

1. 不適切な権限管理(CWE-269) [その他]

1. CVE-2026-86746

1. National Vulnerability Database (NVD) : CVE-2026-86746

• [2026年09月15日]
    掲載