CVE-2026-86755

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versões 4.2.0 até 8.6.3

Description As rotas de tokens de acesso pessoal auto-registradas do Laravel Passport (GET, POST, DELETE '/oauth/personal-access-tokens*') estão expostas utilizando apenas os middlewares 'web' e 'auth:web'. Isso ignora a trava de permissão self.api que é normalmente aplicada em outros endpoints de token, como '/account/api' e '/api/v1/account/personal-access-tokens'. Consequentemente, qualquer usuário com uma sessão web válida e um token CSRF correspondente pode enviar uma requisição POST para '/oauth/personal-access-tokens' e gerar um token bearer de longa duração para sua própria conta, mesmo quando um administrador negou a permissão self.api. Embora o token emitido ainda esteja sujeito às políticas de autorização existentes e não represente uma escalada de privilégios, ele anula o controle administrativo destinado a bloquear o acesso via API ou scripts no nível de permissão do próprio usuário.

Recommendations Atualizar para a versão 8.7.0 ou posterior.