CVE-2026-53626
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
GLPI to darmowy pakiet oprogramowania do zarządzania zasobami i IT. Od wersji 11.0.5 do 11.0.8, w pewnych warunkach logika uprawnień może przyznać dostęp do dokumentu bez potwierdzenia, że dokument jest powiązany z docelowym elementem. Użytkownik może użyć niepowiązanego elementu, do którego ma uprawnienia, aby odczytać dokument powiązany z niedostępnym elementem. Problem naprawiono w wersji 11.0.8.
Ocena ryzyka
Użytkownik może uzyskać dostęp do dokumentów, do których nie powinien mieć uprawnień, co prowadzi do naruszenia poufności. Może to skutkować wyciekiem wrażliwych informacji.
Rekomendacja
Zaktualizuj GLPI do wersji 11.0.8 lub nowszej. Do czasu aktualizacji dokładnie przeglądaj uprawnienia do dokumentów i elementów oraz monitoruj dostęp do dokumentów.
Inne podatności w GLPI
Zobacz wszystkie- CVE-2025-66417Wysokie
GLPI to darmowe oprogramowanie do zarządzania zasobami i IT. W wersjach od 11.0.0 do 11.0.2 (przed 11.0.3) nieuwierzytelniony użytkownik może przeprowadzić atak SQL injection przez endpoint inwentaryzacji. Luka została naprawiona w wersji 11.0.3.
- CVE-2025-64516Wysokie
GLPI przed wersjami 10.0.21 i 11.0.3 umożliwia nieautoryzowanemu użytkownikowi dostęp do dokumentów GLPI przypisanych do dowolnego elementu (zgłoszenia, zasobu itp.). Jeśli publiczna FAQ jest włączona, dostęp ten może być wykonany przez anonimowego użytkownika. Poprawka znajduje się w wersjach 10.0.21 i 11.0.3.
- CVE-2017-11475Wysokie
GLPI w wersjach przed 9.1.5.1 zawiera podatność na wstrzykiwanie SQL w polu reguły warunkowej, którą można wykorzystać poprzez front/rulesengine.test.php.
- CVE-2016-7507Wysokie
Podatność typu Cross-Site Request Forgery (CSRF) w GLPI 0.90.4 umożliwia zdalnym, uwierzytelnionym atakującym wysłanie żądania, które może prowadzić do utworzenia konta administratora w aplikacji.
- CVE-2016-7508Wysokie
Wielokrotne podatności na wstrzykiwanie SQL w GLPI 0.90.4 umożliwiają uwierzytelnionemu zdalnemu atakującemu wykonanie dowolnych poleceń SQL przy użyciu określonego znaku, gdy baza danych jest skonfigurowana do używania kodowania Big5.
- CVE-2015-7684Wysokie
W GLPI przed wersją 0.85.3 występuje podatność na nieograniczone przesyłanie plików, która pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu poprzez dodanie pliku z rozszerzeniem wykonywalnym jako załącznika do nowego zgłoszenia.
- CVE-2014-8360Wysokie
Podatność na przejście katalogu w pliku inc/autoload.function.php w GLPI przed wersją 0.84.8 umożliwia zdalnym atakującym dołączanie i wykonywanie dowolnych lokalnych plików poprzez użycie sekwencji .._ (kropka kropka podkreślnik) w typie elementu przekazywanym do funkcji getItemForItemtype.
- CVE-2013-2226Wysokie
Wielokrotne podatności na wstrzykiwanie SQL w GLPI przed wersją 0.83.9 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez różne parametry w aplikacji.
- CVE-2026-48482Krytyczne
W GLPI od wersji 11.0.0 do 11.0.8 administrator formularzy może użyć importu formularza ze spreparowanym identyfikatorem ilustracji lub sceny, który wychodzi poza zamierzony katalog zasobów niestandardowych. Zaimportowany plik może zostać zapisany w wykonywalnej lokalizacji serwera, umożliwiając zdalne wywołanie złośliwego skryptu.
- CVE-2022-35914KrytyczneAktywnie exploitowane
Plik /vendor/htmlawed/htmlawed/htmLawedTest.php w module htmlawed dla GLPI do wersji 10.0.2 pozwala na wstrzyknięcie kodu PHP.
Oryginalny opis (angielski, źródło NVD)
GLPI is a free asset and IT management software package. From 11.0.5 until 11.0.8, under certain conditions, permission logic can grant access to a document without confirming that the document is linked to the targeted item. A user can use an unrelated item that the user is permitted to view to read a document linked to an inaccessible item. This issue is fixed in version 11.0.8.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS