【中危】snipe-it：权限控制风险（GHSA-hf68-g98v-wp9g）

安全情报快照 · 风险级别：中危 · CVE-2026-55483 · GHSA-hf68-g98v-wp9g

先看结论

snipe-it存在权限控制风险，< 8.6.0 受影响，建议升级至 8.6.0。

影响范围

生态	组件	受影响版本	首个修复版本
composer	`snipe/snipe-it`	< 8.6.0	8.6.0

处置建议

优先将 snipe/snipe-it 升级至 8.6.0 或更高版本；升级前请结合业务依赖完成兼容性验证。

上游技术详情（原文）

Impact

The store() method in both the web and API UsersController only strips the superuser permission when a non-superuser creates a user. It does not strip the admin permission. This allows any authenticated user with the users.create permission to create a new user with full admin privileges.

The users.create permission may commonly be delegated to HR staff, department leads, or similar roles.

Patches

Patched in aea3877718

来源与许可

本页自动同步 GitHub Advisory Database 的公开数据，并保留上游原文供核验；不宣称原创分析。数据许可：CC-BY-4.0。