Grokability, Inc.のSnipe-ITにおける複数の脆弱性
| Title |
Grokability, Inc.のSnipe-ITにおける複数の脆弱性
|
| Summary |
Snipe-ITはIT資産およびライセンス管理を行うシステムです。バージョン8.4.1以前では、users.edit権限のみを持つ認証済みユーザーが、PATCHリクエストを/api/v1/users/{id}に対してpermissions[admin]=1を送信することで、自身の権限を管理者に昇格させることが可能でした。APIコントローラーはpermissions配列からsuperuserキーのみを除外しており、adminやその他の権限キーはユーザー更新権限を持つ任意のユーザーによって設定可能でした。この脆弱性は8.4.1で修正されました。
|
| Possible impacts |
当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution |
正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
May 26, 2026, midnight |
| Registration Date |
May 28, 2026, 2:40 p.m. |
| Last Update |
May 28, 2026, 2:40 p.m. |
|
CVSS3.0 : 重要
|
| Score |
8.8
|
| Vector |
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Affected System
| Grokability, Inc. |
|
Snipe-IT 8.4.1 未満
|
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2026年05月28日]
掲載 |
May 28, 2026, 2:40 p.m. |
NVD Vulnerability Information
CVE-2026-44832
| Summary |
Snipe-IT is an IT asset/license management system. Prior to 8.4.1, aAn authenticated user with only users.edit permission can escalate their own privileges to admin by sending a PATCH request to /api/v1/users/{id} with permissions[admin]=1. The API controller only strips the superuser key from the permissions array, allowing admin and all other permission keys to be set by any user who can update users. This vulnerability is fixed in 8.4.1.
|
| Publication Date |
May 27, 2026, 5:16 a.m. |
| Registration Date |
May 28, 2026, 4:09 a.m. |
| Last Update |
May 27, 2026, 5:38 a.m. |
Affected software configurations
| Configuration1 |
or higher |
or less |
more than |
less than |
| cpe:2.3:a:snipeitapp:snipe-it:*:*:*:*:*:*:*:* |
|
|
|
8.4.1 |
Related information, measures and tools
Common Vulnerabilities List