JVNDB-2026-033539

Grokability, Inc.のSnipe-ITにおける競合状態に関する脆弱性

Snipe-IT 8.6.3およびそれ以前のバージョン（修正前のdevelopのプレリリースコミットを含む）には、資産のチェックアウトパスにレースコンディションが存在します。Api\AssetsController::checkout()およびAssets\AssetCheckoutController::store()は、変更処理の外でAsset::availableForCheckout()を呼び出し、その後に行ロックを取得したり可用性を再確認したりせずにAsset::checkOut()を呼び出します。そのため、同じ利用可能な資産に対して2つの同時チェックアウト要求が両方とも資産を利用可能と判断し、両方がコミットされてしまいます。これにより、重複したチェックアウト履歴行、2倍になったcheckout_counter、および単一割り当て資産に対して2つのCheckoutableCheckedOutイベントが発生し、監査証跡および利用・照合報告が破損します。ただし、資産の最終的なassigned_toは単一のままであるため、視覚的な割り当ては維持されます。悪用するにはassets.checkout権限（またはスーパーユーザー）を持つ認証済みセッションと精密な同時実行タイミングが必要です。本問題は8.7.0で修正されました。

Grokability, Inc.

• Snipe-IT 8.7.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Race Condition in Asset Checkout Allows Duplicate Checkout History and Counter Updates  Advisory  grokability/snipe-it  GitHub

VulnCheck

• VulnCheck : snipe-it before 8.7.0 Race Condition in Asset Checkout  | Advisories | VulnCheck

1. 競合状態(CWE-362) [その他]

1. CVE-2026-86744

1. National Vulnerability Database (NVD) : CVE-2026-86744
2. 関連文書 : Clean up checkout APIs for concurrency  grokability/snipe-it@f71806b  GitHub

• [2026年09月15日]
    掲載