CVE-2026-63493— Snipe-IT API令牌流程双重验证绕过漏洞
一分钟漏洞结论
影响对象
grokability snipe-it
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Snipe-IT 是一款 IT 资产/许可管理系统。在版本 8.7.0 之前，具有 self.api 权限的账户在尚未完成第二因素认证挑战的情况下，其通过密码验证建立的会话仍可访问 personal-access-token API 流程。这是因为 CheckForTwoFactor 中间件仅在 Web 中间件组中生效，而在 API 中间件组中未生效。 根据安全通告，由此产生的持久性 API 令牌能够以受害者的权限读取和修改资源；对于管理员账户，该令牌还可访问 users/two_factor_reset 端点。重
影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| grokability | snipe-it | < 8.7.0 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-63493 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Snipe-IT: 2FA bypass via the API token flow
来源: CVE Program / CVE List V5
Vulnerability Description
Snipe-IT is an IT asset/license management system. Prior to 8.7.0, a password-authenticated session for an account with self.api permission can reach the personal-access-token API flow before completing the account's second-factor challenge because CheckForTwoFactor is enforced in the web middleware group but not the API middleware group. The advisory states that the resulting persistent API token can read and modify resources with the victim's permissions and, for an administrator, can reach the users/two_factor_reset endpoint. Resetting the administrator's enrolled second factor allows the password-holding attacker to enroll an attacker-controlled factor, take over the administrator's web account, and lock out the legitimate user. The token does not create a web session, but it provides broad API access while the same browser session remains blocked at the two-factor page. This vulnerability is fixed in 8.7.0.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
使用候选路径或通道进行的认证绕过
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| grokability | snipe-it | < 8.7.0 | - |
|
二、漏洞 CVE-2026-63493 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-63493 的情报信息
请登录查看更多情报信息。
CVE-2026-63493 补丁与修复 (3)
CVE-2026-63493 厂商安全公告 (1)
-
🔗 2FA bypass via the API token flow · Advisory · grokability/snipe-it · GitHub 查看完整文章 x_refsource_CONFIRM
CVE-2026-63493 厂商页面 (1)
-
🔗 Release v8.7.0 · grokability/snipe-it · GitHub x_refsource_MISC
同批安全公告 · grokability · 2026-09-24 · 共 3 条
| CVE-2026-63498 | 8.7 HIGH | Snipe-IT 上传文件 API 内联 XML 渲染存储型 XSS 漏洞 |
| CVE-2026-62368 | 8.1 HIGH | Snipe-IT 资产列表列头自定义字段名存储型XSS漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-63493
暂无评论