【中危】snipe-it：权限控制风险（GHSA-52fw-7fw2-fmv5）

安全情报快照 · 风险级别：中危 · CVSS：5.5 · CVE-2026-48493 · GHSA-52fw-7fw2-fmv5

先看结论

snipe-it存在权限控制风险，< 8.6.0 受影响，建议升级至 8.6.0。

影响范围

生态	组件	受影响版本	首个修复版本
composer	`snipe/snipe-it`	< 8.6.0	8.6.0

处置建议

优先将 snipe/snipe-it 升级至 8.6.0 或更高版本；升级前请结合业务依赖完成兼容性验证。

上游技术详情（原文）

Impact

A user with only users.edit AND api permissions can send a PATCH to /api/v1/users/{their_own_id} and grant themselves any permission except admin and superuser — for example assets.view, assets.create, reports.view, import, etc.

Patches

Patched in https://github.com/grokability/snipe-it/pull/19024

来源与许可

GitHub Advisory GHSA-52fw-7fw2-fmv5
https://github.com/grokability/snipe-it/security/advisories/GHSA-52fw-7fw2-fmv5
https://github.com/grokability/snipe-it/pull/19024
https://nvd.nist.gov/vuln/detail/CVE-2026-48493

本页自动同步 GitHub Advisory Database 的公开数据，并保留上游原文供核验；不宣称原创分析。数据许可：CC-BY-4.0。