CVE-2026-86755

Snipe-IT versiyaları 4.2.0-dan 8.6.3-ə qədər olan versiyalarda Laravel Passport-un avtomatik qeydiyyatdan keçmiş personal-access-token marşrutları (GET, POST, DELETE /oauth/personal-access-tokens*) yalnız 'web' və 'auth:web' middleware ilə təmin edilir və Snipe-IT-nin öz token son nöqtələrində (/account/api və /api/v1/account/personal-access-tokens) tətbiq etdiyi self.api icazə qapısı (permission gate) burada mövcud deyil. Valid veb sessiyasına və müvafiq CSRF tokeninə malik olan hər hansı istifadəçi, administrator tərəfindən self.api icazəsi rədd edildiyi halda belə, /oauth/personal-access-tokens ünvanına POST sorğusu göndərərək öz hesabı üçün uzunömürlü bearer token yarada bilər. Verilən token hələ də mövcud son nöqtə avtorizasiya siyasətlərinə tabedir, buna görə də bu, imtiyazların yüksəldilməsi deyil; bu, istifadəçinin öz icazə səviyyəsində API/skript vasitəsilə girişi bloklamaq üçün nəzərdə tutulmuş inzibati nəzarəti sıradan çıxarır. Problem 8.7.0 versiyasında (commit 3f74b8c) düzəldilmişdir; burada can:self.api middleware ilə əhatə olunmuş üstünlük təşkil edən (overriding) marşrutlar qeydiyyata alınmışdır.