JVNDB-2026-034213

Grokability, Inc.のSnipe-ITにおける不正な認証に関する脆弱性

Snipe-ITのバージョン8.6.3まででは、updateLicense、updateConsumable、updateAccessory、およびupdateModelのエンドポイント、ならびにPredefined Kits向けのstoreModelエンドポイントにおいてオブジェクトレベルの認可が正しく実施されていません。既存のチェックは親のPredefined Kit（PredefinedKitの更新）のみを認可しており、関連付けられる子オブジェクト自体には認可が行われていません。その結果、kits.edit権限のみを持つ認証済みユーザーが、直接は読み取りを拒否される（HTTP 403）License、Consumable、Accessory、またはAsset ModelをPredefined Kitに添付できてしまいます。そして、キットの関連付けインデックスにより、その添付されたオブジェクトの名前が低権限ユーザーに公開されてしまいます。これはCVE-2026-55478のアップデートパスおよびstoreModelに関連する問題であり、8.6.2ではstoreLicense、storeConsumable、storeAccessoryのメソッドのみが修正されました。なお、updateModelは8.6.3でコード上の脆弱性が存在していましたが、ルート名の誤りにより存在しないコントローラメソッドにルートが紐づけられていたため、実際にはHTTP 500エラーが発生し到達不能でした。この問題はSnipe-IT 8.7.0で修正されています。

Grokability, Inc.

• Snipe-IT 8.7.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Broken Access Control in Predefined Kit Update / storeModel Endpoints  Advisory  grokability/snipe-it  GitHub

VulnCheck

• VulnCheck : Snipe-IT 8.6.3 Broken Access Control via Kit Update Endpoints  | Advisories | VulnCheck

1. 不正な認証(CWE-863) [その他]

1. CVE-2026-86773

1. National Vulnerability Database (NVD) : CVE-2026-86773

• [2026年09月17日]
    掲載