CVE-2026-49469

GLPI to darmowe oprogramowanie do zarządzania zasobami i IT. Od wersji 0.85 do 10.0.26 i 11.0.8, uwierzytelniony użytkownik z niskimi uprawnieniami może tworzyć, aktualizować lub usuwać komentarze i tłumaczenia bazy wiedzy bez wymaganej autoryzacji dla danego zasobu. Problem został naprawiony w wersjach 11.0.8 i 10.0.26.

GLPI to darmowy pakiet oprogramowania do zarządzania zasobami i IT. Od wersji 11.0.6 do 11.0.8 uwierzytelniony technik może zapisać aktywny znacznik w polach witryny dostawcy. Każdy użytkownik, który otworzy listę dostawców dotkniętego elementu, uruchomi zapisany ładunek cross-site scripting. Problem naprawiono w wersji 11.0.8.

GLPI to darmowy pakiet oprogramowania do zarządzania zasobami i IT. Od wersji 9.4.0 do 10.0.26 oraz 11.0.8 atakujący z prawem READ do logów może spreparować URL zakładki historii, który wstrzykuje kontrolowane przez atakującego wartości do zapytania do bazy danych. Umożliwia to wstrzyknięcie SQL przez endpoint zakładki historii. Problem naprawiono w wersjach 11.0.8 i 10.0.26.

GLPI to darmowe oprogramowanie do zarządzania zasobami i IT. Od wersji 0.84 do 10.0.26 i 11.0.8, administrator posiadający uprawnienia Update auth i sync lub Update auth, sync i 2FA może zmienić metodę uwierzytelniania i wyłączyć dwuskładnikowe uwierzytelnianie dla kont użytkowników spoza zakresu jednostki administratora. Proces administrowania kontami nie egzekwował spójnie uprawnień aktualizacji dla docelowego użytkownika. Problem naprawiono w wersjach 11.0.8 i 10.0.26.

GLPI to darmowe oprogramowanie do zarządzania zasobami i IT. Od wersji 11.0.0 do 11.0.8, uwierzytelniony użytkownik z niskimi uprawnieniami może używać nowego API (v2) do wykonywania operacji aktualizacji, które normalnie są zabronione dla tego użytkownika w interfejsie użytkownika. Proces aktualizacji przez API nie egzekwuje spójnie odpowiednich kontroli autoryzacji. Problem naprawiono w wersji 11.0.8.

GLPI to darmowy pakiet oprogramowania do zarządzania zasobami i IT. Od wersji 11.0.5 do 11.0.8, w pewnych warunkach logika uprawnień może przyznać dostęp do dokumentu bez potwierdzenia, że dokument jest powiązany z docelowym elementem. Użytkownik może użyć niepowiązanego elementu, do którego ma uprawnienia, aby odczytać dokument powiązany z niedostępnym elementem. Problem naprawiono w wersji 11.0.8.

W GLPI technik może manipulować wartością authtype przez API, aby zmienić metodę uwierzytelniania innego użytkownika. W konfiguracjach korzystających ze starego interfejsu REST API lub logowania SSO pozwala to zmienić metodę uwierzytelniania superadministratora i przejąć jego konto. Podatność naprawiono w wersjach 11.0.8 i 10.0.26.

W GLPI atakujący może spreparować adres URL pulpitu nawigacyjnego, który odzwierciedla kontrolowany przez atakującego kod bez wystarczającego kodowania wyjściowego. Użytkownik otwierający taki adres URL uruchamia odbity cross-site scripting w pulpicie. Podatność naprawiono w wersji 11.0.8.

W GLPI punkt końcowy weryfikacji haseł jednorazowych opartych na czasie nie ogranicza liczby nieudanych prób na użytkownika. Atakujący, który zdobył podstawowe dane uwierzytelniające użytkownika, może wielokrotnie przesyłać wartości TOTP w procesie weryfikacji MFA, co umożliwia brute-force drugiego czynnika i przejęcie konta. Podatność naprawiono w wersji 11.0.8.

W GLPI każdy zalogowany użytkownik może wykorzystać niewystarczającą walidację ścieżki w procesie aktualizacji zdjęcia profilowego, aby zażądać usunięcia wybranego przez atakującego pliku hostowanego na serwerze. Podatność naprawiono w wersjach 11.0.8 i 10.0.26.