Vulnérabilité dans GLPI

Date de publication :

CVE-2022-29250[Score CVSS v3.1: 8.1]

Une vulnérabilité de type injection SQL dans les pages de recherche de GLPI permet à un attaquant d’exécuter du code arbitraire et de porter atteinte à la confidentialité ainsi qu’à l’intégrité des informations présentes dans la base de données principale.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Exécution de code arbitraire (à distance)

    Atteinte à la confidentialité des données

    Atteinte à l’intégrité des données

Criticité

    Score CVSS v3.1: 8.1

La faille est activement exploitée

    Non

Un correctif existe

    Oui

Une mesure de contournement existe

    Non

La vulnérabilité exploitée est du type

CWE-89: Improper Neutralization of Special Elements used in an SQL Command

Détails sur l’exploitation

    Vecteur d’attaque : Réseau.

    Complexité de l’attaque : Faible.

    Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur simple.

    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Aucun.

    L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Composants vulnérables

Les produits suivants sont affectés par cette vulnérabilité :

    GLPI version 9.4.0

    GLPI version 9.3.3

    GLPI version 9.3.1

    GLPI version 9.4.2

    GLPI version 9.4.3

    GLPI version 9.4.5

    GLPI version 9.5.0

    GLPI version 9.4.0

    GLPI version 9.5.3

    GLPI version 9.5.4

    GLPI version 9.5.5

    GLPI version 9.5.6

    GLPI version 0.90

    GLPI version 9.5.79.4.2

Solutions ou recommandations

  • Il est recommandé de mettre à jour GLPI aux versions 10.0.1 et suivantes. Des informations complémentaires sont disponibles ici.

Liens