JVNDB-2026-034224

Grokability, Inc.のSnipe-ITにおける認証の欠如に関する脆弱性

Snipe-IT 8.7.0未満のバージョンでは、app/Http/Kernel.php の `api` ミドルウェアグループに CheckUserIsActivated ミドルウェアが適用されていません。これにより、ユーザーを非アクティブ化してもそのユーザーのPassportのパーソナルアクセストークンが無効化されません。その結果、非アクティブ化されたアカウントはウェブログイン時に正しく拒否されますが、既存のAPIトークンは依然として有効であり続けます。そして、トークンの有効期限が切れるまで以前の権限レベルでREST API（資産、ユーザー、ライセンスなど）への読み取りおよび書き込みアクセスが許可され続けます。さらに、ユーザー管理権限を保持する非アクティブ化アカウントはAPIを通じて自身を再アクティブ化できるため、非アクティブ化の制御が永続的に無効化されてしまいます。

Grokability, Inc.

• Snipe-IT 8.7.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Activation check missing from API middleware  Advisory  grokability/snipe-it  GitHub

VulnCheck

• VulnCheck : Snipe-IT before 8.7.0 Authentication Bypass via API Middleware  | Advisories | VulnCheck

1. 認証の欠如(CWE-862) [その他]

1. CVE-2026-86762

1. National Vulnerability Database (NVD) : CVE-2026-86762
2. 関連文書 : Extend middleware activation for API as well  grokability/snipe-it@b3f12f9  GitHub

• [2026年09月17日]
    掲載