Snipe-IT Vulnerable to Unauthorized Asset Request Cancellation via Unguarded cancel_by_admin Parameter

TRUNG BÌNH 4.3CVE-2026-55476 · GHSA-53jc-27pc-x8r8 · Công bố 10/07/2026 · cập nhật 25/10/2026

Tóm tắt nhanh

CVE-2026-55476 là lỗ hổng mức TRUNG BÌNH (CVSS 4.3) ảnh hưởng snipe/snipe-it, snipe-it (snipeitapp).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.34%, cao hơn 27.0% các lỗ hổng khác.
Cách xử lý: cập nhật lên 8.6.0 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
snipe/snipe-it Packagist	`< 8.6.0`	`8.6.0`
snipe-it snipeitapp	`< 8.6.0`	`8.6.0`

Mô tả

Impact

The route POST /account/request/{itemType}/{itemId}/{cancel_by_admin?}/{requestingUser?} accepts cancel_by_admin as a plain URL path segment with no authorization check. Any authenticated user regardless of permissions can set this parameter to a truthy value and supply a victim's user ID to silently cancel that user's pending asset requests. The attacker only needs an active session; no elevated privilege is required.

Patches

Patched in 8.6.1

Mô tả của NVD

Snipe-IT is an IT asset/license management system. Prior to 8.6.0, POST /account/request/{itemType}/{itemId}/{cancel_by_admin?}/{requestingUser?} accepts cancel_by_admin as a URL path segment without sufficient authorization, allowing an authenticated user to supply a victim user ID and silently cancel that user’s pending asset requests. This issue is fixed in version 8.6.0.