CVE-2023-35924
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 99 - wyżej niż 99% wszystkich znanych CVE
Streszczenie
GLPI to darmowe oprogramowanie do zarządzania zasobami i IT. W wersjach od 10.0.0 do 10.0.7, punkt końcowy inwentaryzacji GLPI może być wykorzystany do przeprowadzenia ataku SQL injection, ponieważ domyślnie nie wymaga uwierzytelnienia.
Ocena ryzyka
Brak uwierzytelnienia w punkcie końcowym inwentaryzacji może prowadzić do nieautoryzowanego dostępu do bazy danych, co stwarza poważne zagrożenie dla bezpieczeństwa danych organizacji.
Rekomendacja
Zaleca się aktualizację do wersji 10.0.8, która zawiera poprawkę dla tej podatności. Alternatywnie, można wyłączyć natywną inwentaryzację jako tymczasowe rozwiązanie.
Oryginalny opis (angielski, źródło NVD)
GLPI is a free asset and IT management software package. Starting in version 10.0.0 and prior to version 10.0.8, GLPI inventory endpoint can be used to drive a SQL injection attack. By default, GLPI inventory endpoint requires no authentication. Version 10.0.8 has a patch for this issue. As a workaround, one may disable native inventory.