CVE-2026-86755

Snipe-IT 4.2.0 ile 8.6.3 arasındaki sürümler, Laravel Passport'un otomatik olarak kaydedilen personal-access-token rotalarını (GET, POST, DELETE /oauth/personal-access-tokens*), Snipe-IT'nin kendi token uç noktalarında (/account/api ve /api/v1/account/personal-access-tokens) uyguladığı self.api izin kapısı olmaksızın, yalnızca 'web' ve 'auth:web' ara yazılımları ile dışa açmaktadır. Geçerli bir web oturumuna ve ilgili CSRF token'ına sahip herhangi bir kullanıcı, bir yönetici tarafından self.api izni reddedilmiş olsa bile, /oauth/personal-access-tokens adresine POST isteği göndererek kendi hesabı için uzun ömürlü bir bearer token oluşturabilir. Düzenlenen token hala mevcut uç nokta bazlı yetkilendirme politikalarına tabi olduğundan, bu durum bir yetki yükseltme değildir; ancak kullanıcının kendi izin seviyesinde API/betik tabanlı erişimi engellemek amacıyla tasarlanan idari kontrolü etkisiz hale getirir. Bu sorun, can:self.api ara yazılımı ile sarmalanmış geçersiz kılıcı rotaları kaydeden 8.7.0 sürümünde (commit 3f74b8c) düzeltilmiştir.