注目★★★★★GitHub Advisory
Snipe-IT API、テナント分離バイパスで他社に備品データ注入が可能
30秒で把握
- 1Snipe-IT Accessories API にテナント境界を越えた備品レコード注入の欠陥
- 2FMCS 有効環境限定・低権限ユーザーが他社在庫を改ざんできる点が深刻
- 3修正コミット公開済み・FMCS 利用者は最新版への更新を確認すること
要約
Snipe-IT の Accessories API に、クロステナントデータ注入の脆弱性（CVE-2026-54329）が確認された。FMCS（Full Multiple Companies Support）有効時、低権限の認証済みユーザーが API リクエストに他社の company_id を指定することで、別会社の備品レコードを作成できる。Webコントローラーは getIdForCurrentUser() でテナントを強制するが、APIコントローラーにはその制御が欠落していた。注入されたレコードは被害テナントの正規在庫として表示され、テナント分離の完全性が損なわれる。修正済みコミットが公開されており、FMCS利用者はアップデートが必要。
あなたへの影響
複数企業を同一インスタンスで管理している場合、他テナントの在庫データが汚染されるリスクがあるため。
推奨：FMCS を有効化している環境では修正コミット（dc8cbf4）の適用を優先したい。