JVNDB-2026-036002

Grokability, Inc.のSnipe-ITにおける不正な認証に関する脆弱性

Snipe-ITの事前定義キットチェックアウトパスは、チェックアウト対象に対する完全なマルチカンパニーサポート（FMCS）テナントの分離を強制していません。単一、バルク、API、アクセサリー、ライセンス、および消耗品のチェックアウトパスとは異なり、App\Services\PredefinedKitCheckoutServiceは$item-＞canCheckoutTo($target)を決して呼び出さず、チェックアウトを永続化する前にアクター対アイテムのポリシーチェックと可用性チェックのみを行います。FMCSが有効な場合、少なくとも2つの会社に所属しassets.checkout権限を持つスーパーユーザーでないユーザーが、ユーザーIDが会社Bにのみ属する状態で/kits/{kit}/checkoutにPOSTすると、会社Aの資産（およびキットライセンス、消耗品、アクセサリーも同様）がそのユーザーに割り当てられてしまいます。このため、他のすべてのチェックアウトパスで同じ操作をブロックする会社不一致チェックを回避できてしまいます。この問題はSnipe-IT 8.7.2で修正されており、v8.6.3でランタイム検証、v8.7.1でコード検査が行われました。影響を受けるサービスは2019年以降これらのチェックを欠いていたため、より古いFMCS展開も影響を受けている可能性があります。

Grokability, Inc.

• Snipe-IT 8.7.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Predefined kit checkout bypasses FMCS company isolation  Advisory  grokability/snipe-it  GitHub

VulnCheck

• VulnCheck : Snipe-IT before 8.7.2 Authorization Bypass via Predefined Kit Checkout  | Advisories | VulnCheck

1. 不正な認証(CWE-863) [その他]

1. CVE-2026-88894

1. National Vulnerability Database (NVD) : CVE-2026-88894

• [2026年09月30日]
    掲載