CVE-2023-36808
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 99 - wyżej niż 99% wszystkich znanych CVE
Streszczenie
GLPI, oprogramowanie do zarządzania zasobami IT, ma podatność na atak SQL injection w formularzu Wirtualnej Maszyny Komputerowej oraz w żądaniu inwentaryzacji. Problem występuje w wersjach od 0.80 do przed 10.0.8, a wersja 10.0.8 zawiera poprawkę.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do bazy danych, co może prowadzić do ujawnienia wrażliwych informacji lub manipulacji danymi.
Rekomendacja
Zaleca się aktualizację GLPI do wersji 10.0.8 lub wyłączenie natywnej inwentaryzacji jako tymczasowe rozwiązanie.
Oryginalny opis (angielski, źródło NVD)
GLPI is a free asset and IT management software package. Starting in version 0.80 and prior to version 10.0.8, Computer Virtual Machine form and GLPI inventory request can be used to perform a SQL injection attack. Version 10.0.8 has a patch for this issue. As a workaround, one may disable native inventory.