JVNDB-2026-034226

Grokability, Inc.のSnipe-ITにおける不正な認証に関する脆弱性

Snipe-ITのバージョン8.2.0から8.6.x（8.7.0で修正）には、app/Http/Controllers/Users/UsersController::update()において不適切な認可の脆弱性があります。シングルユーザー編集ルートは、canEditAuthFields認可ゲートの評価前にリクエストペイロードからactivatedフィールドを割り当てているため、対象の会社スコープでusers.edit権限を持つ認証済みの非管理者ユーザーは、/users/{id}への有効なPUTリクエストを送信することで、adminやsuperuserアカウントを含む任意のユーザーのactivatedフラグを切り替えることが可能です。管理者アカウントを非活性化すると、別の管理者またはスーパーユーザーが再び有効化するまで、そのアカウントはアプリケーションにログインできなくなります。影響を受けるのはactivatedフィールドのみであり、ユーザー名、メール、パスワード、権限はゲートによって保護されているため、データの漏洩は発生しません。また、API（Api\UsersController::update）や一括編集パスは影響を受けません。

Grokability, Inc.

• Snipe-IT 8.2.0 以上 8.7.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Users with users.edit permission can toggle the activated flag on admin and superuser accounts via the single-user edit route  Advisory  grokability/snipe-it  GitHub

VulnCheck

• VulnCheck : snipe-it 8.2.0 before 8.7.0 Authentication Bypass via activated flag  | Advisories | VulnCheck

1. 不正な認証(CWE-863) [その他]

1. CVE-2026-86760

1. National Vulnerability Database (NVD) : CVE-2026-86760
2. 関連文書 : Fixed FD-56664 - tightened activated gate  grokability/snipe-it@02f62c8  GitHub

• [2026年09月17日]
    掲載