CVE-2026-55217

GLPI to darmowy pakiet oprogramowania do zarządzania zasobami i IT. Od wersji 11.0.6 do 11.0.8 uwierzytelniony technik może zapisać aktywny znacznik w polach witryny dostawcy. Każdy użytkownik, który otworzy listę dostawców dotkniętego elementu, uruchomi zapisany ładunek cross-site scripting. Problem naprawiono w wersji 11.0.8.

GLPI to darmowy pakiet oprogramowania do zarządzania zasobami i IT. Od wersji 9.4.0 do 10.0.26 oraz 11.0.8 atakujący z prawem READ do logów może spreparować URL zakładki historii, który wstrzykuje kontrolowane przez atakującego wartości do zapytania do bazy danych. Umożliwia to wstrzyknięcie SQL przez endpoint zakładki historii. Problem naprawiono w wersjach 11.0.8 i 10.0.26.

GLPI to darmowe oprogramowanie do zarządzania zasobami i IT. Od wersji 0.84 do 10.0.26 i 11.0.8, administrator posiadający uprawnienia Update auth i sync lub Update auth, sync i 2FA może zmienić metodę uwierzytelniania i wyłączyć dwuskładnikowe uwierzytelnianie dla kont użytkowników spoza zakresu jednostki administratora. Proces administrowania kontami nie egzekwował spójnie uprawnień aktualizacji dla docelowego użytkownika. Problem naprawiono w wersjach 11.0.8 i 10.0.26.

GLPI to darmowe oprogramowanie do zarządzania zasobami i IT. Od wersji 11.0.0 do 11.0.8, uwierzytelniony użytkownik z niskimi uprawnieniami może używać nowego API (v2) do wykonywania operacji aktualizacji, które normalnie są zabronione dla tego użytkownika w interfejsie użytkownika. Proces aktualizacji przez API nie egzekwuje spójnie odpowiednich kontroli autoryzacji. Problem naprawiono w wersji 11.0.8.

GLPI to darmowy pakiet oprogramowania do zarządzania zasobami i IT. Od wersji 11.0.5 do 11.0.8, w pewnych warunkach logika uprawnień może przyznać dostęp do dokumentu bez potwierdzenia, że dokument jest powiązany z docelowym elementem. Użytkownik może użyć niepowiązanego elementu, do którego ma uprawnienia, aby odczytać dokument powiązany z niedostępnym elementem. Problem naprawiono w wersji 11.0.8.

W GLPI technik może manipulować wartością authtype przez API, aby zmienić metodę uwierzytelniania innego użytkownika. W konfiguracjach korzystających ze starego interfejsu REST API lub logowania SSO pozwala to zmienić metodę uwierzytelniania superadministratora i przejąć jego konto. Podatność naprawiono w wersjach 11.0.8 i 10.0.26.

W GLPI atakujący może spreparować adres URL pulpitu nawigacyjnego, który odzwierciedla kontrolowany przez atakującego kod bez wystarczającego kodowania wyjściowego. Użytkownik otwierający taki adres URL uruchamia odbity cross-site scripting w pulpicie. Podatność naprawiono w wersji 11.0.8.

W GLPI punkt końcowy weryfikacji haseł jednorazowych opartych na czasie nie ogranicza liczby nieudanych prób na użytkownika. Atakujący, który zdobył podstawowe dane uwierzytelniające użytkownika, może wielokrotnie przesyłać wartości TOTP w procesie weryfikacji MFA, co umożliwia brute-force drugiego czynnika i przejęcie konta. Podatność naprawiono w wersji 11.0.8.

GLPI to darmowe oprogramowanie do zarządzania zasobami i IT. Od wersji 0.70 do 10.0.26 i 11.0.8, uwierzytelniony hotliner lub technik może przesłać spreparowane kryteria przez funkcję importu użytkowników, aby ominąć skonfigurowany domyślny filtr LDAP. Pozwala to na dostęp do obiektów LDAP, które domyślny filtr miał wykluczać. Problem naprawiono w wersjach 11.0.8 i 10.0.26.

W GLPI każdy zalogowany użytkownik może wykorzystać niewystarczającą walidację ścieżki w procesie aktualizacji zdjęcia profilowego, aby zażądać usunięcia wybranego przez atakującego pliku hostowanego na serwerze. Podatność naprawiono w wersjach 11.0.8 i 10.0.26.