CVE-2026-5385

GLPI to darmowe oprogramowanie do zarządzania zasobami i IT. W wersjach od 11.0.0 do 11.0.2 (przed 11.0.3) nieuwierzytelniony użytkownik może przeprowadzić atak SQL injection przez endpoint inwentaryzacji. Luka została naprawiona w wersji 11.0.3.

GLPI przed wersjami 10.0.21 i 11.0.3 umożliwia nieautoryzowanemu użytkownikowi dostęp do dokumentów GLPI przypisanych do dowolnego elementu (zgłoszenia, zasobu itp.). Jeśli publiczna FAQ jest włączona, dostęp ten może być wykonany przez anonimowego użytkownika. Poprawka znajduje się w wersjach 10.0.21 i 11.0.3.

GLPI w wersjach przed 9.1.5.1 zawiera podatność na wstrzykiwanie SQL w polu reguły warunkowej, którą można wykorzystać poprzez front/rulesengine.test.php.

Podatność typu Cross-Site Request Forgery (CSRF) w GLPI 0.90.4 umożliwia zdalnym, uwierzytelnionym atakującym wysłanie żądania, które może prowadzić do utworzenia konta administratora w aplikacji.

Wielokrotne podatności na wstrzykiwanie SQL w GLPI 0.90.4 umożliwiają uwierzytelnionemu zdalnemu atakującemu wykonanie dowolnych poleceń SQL przy użyciu określonego znaku, gdy baza danych jest skonfigurowana do używania kodowania Big5.

W GLPI przed wersją 0.85.3 występuje podatność na nieograniczone przesyłanie plików, która pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu poprzez dodanie pliku z rozszerzeniem wykonywalnym jako załącznika do nowego zgłoszenia.

Podatność na przejście katalogu w pliku inc/autoload.function.php w GLPI przed wersją 0.84.8 umożliwia zdalnym atakującym dołączanie i wykonywanie dowolnych lokalnych plików poprzez użycie sekwencji .._ (kropka kropka podkreślnik) w typie elementu przekazywanym do funkcji getItemForItemtype.

Wielokrotne podatności na wstrzykiwanie SQL w GLPI przed wersją 0.83.9 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez różne parametry w aplikacji.

W GLPI od wersji 11.0.0 do 11.0.8 administrator formularzy może użyć importu formularza ze spreparowanym identyfikatorem ilustracji lub sceny, który wychodzi poza zamierzony katalog zasobów niestandardowych. Zaimportowany plik może zostać zapisany w wykonywalnej lokalizacji serwera, umożliwiając zdalne wywołanie złośliwego skryptu.