GLPI

GLPI ist eine freie Software für Asset- und IT-Management. In den Versionen 11.0.0 bis vor 11.0.6 kann ein Administrator über Template Injection eine Remote Code Execution (RCE) erreichen. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 11.0.6.

Fields ist ein GLPI-Plugin, das benutzerdefinierte Felder in GLPI-Formularen ermöglicht. In Versionen vor 1.23.3 kann beliebiger PHP-Code durch Benutzer ausgeführt werden, die Dropdowns anlegen dürfen. Behoben in Version 1.23.3. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 1.23.3.

In GLPI kann ein Administrator-Benutzer über die Formulare zur Regelkonfiguration eine SQL-Injection durchführen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Update auf GLPI 10.0.18 oder neuer.

GLPI ist eine freie Software für Asset- und IT-Management. Ab Version 10.0.7 und vor 10.0.10 erlaubt eine ungeprüfte Objekt-Instanziierung das Hochladen bösartiger PHP-Dateien in unerwünschte Verzeichnisse. Je nach Webserver-Konfiguration und verfügbaren Systembibliotheken können diese PHP-Dateien anschliessend über eine Webserver-Anfrage ausgeführt werden. CVSS-Basiswert: 10 (Kritisch). Empfohlene Massnahme: auf GLPI 10.0.10 aktualisieren; als Workaround Schreibrechte auf /ajax und /front für den Webserver entziehen.

GLPI enthält von Version 11.0.0 bis vor 11.0.6 eine nicht authentifizierte, zeitbasierte Blind-SQL-Injection in der Such-Engine. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 11.0.6.

GLPI erlaubt in den Versionen 11.0.0 bis vor 11.0.6 einem nicht authentifizierten Nutzer, über den Inventory-Endpunkt eine persistente Cross-Site-Scripting-Payload zu hinterlegen. Die Schwachstelle ist in Version 11.0.6 behoben. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: GLPI auf Version 11.0.6 aktualisieren.

GLPI enthält von Version 0.60 bis vor 10.0.24 eine Schwachstelle, über die ein authentifizierter Techniker-Benutzer einen XSS-Payload in Lieferantenfeldern speichern kann. Die Lücke ist ab Version 10.0.24 behoben. CVSS-Basiswert: 7.2 (Hoch).

GLPI, eine freie Asset- und IT-Management-Software, enthält von Version 10.0.0 bis vor 10.0.24 sowie in Version 11.0.6 eine SQL-Injection-Schwachstelle, die ein authentifizierter Benutzer über die Log-Export-Funktion ausnutzen kann. Die Lücke ist in den Versionen 10.0.24 und 11.0.6 behoben. CVSS-Basiswert: 7.2 (Hoch).

Das GLPI Inventory Plugin übernimmt Netzwerkerkennung, Inventarisierung, Software-Verteilung und Datenerfassung für GLPI-Agenten. Vor Version 1.6.6 kann nicht bereinigte Nutzereingabe bei entsprechenden Rechten zu einer SQL-Injection über Reports führen. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: Update auf Version 1.6.6.

GLPI ist eine Open-Source-Software für Asset- und IT-Management mit ITIL-Service-Desk-Funktionen, Lizenzverfolgung und Software-Auditing. In den Versionen 11.0.0 bis vor 11.0.5 kann ein authentifizierter Techniker-Benutzer eine bösartige Datei hochladen und deren Ausführung über eine unsichere PHP-Instanziierung auslösen. CVSS-Basiswert: 8.0 (Hoch). Empfohlene Massnahme: auf Version 11.0.5 aktualisieren, in der die Schwachstelle behoben ist.

GLPI ist eine freie Asset- und IT-Management-Software. Vor Version 10.0.21 bzw. 11.0.3 kann laut NVD ein nicht autorisierter Benutzer auf GLPI-Dokumente zugreifen, die an beliebige Objekte (Ticket, Asset, ...) angehängt sind; ist die öffentliche FAQ aktiviert, ist dieser unbefugte Zugriff auch für anonyme Benutzer möglich. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf Version 10.0.21 bzw. 11.0.3 oder neuer aktualisieren.

GLPI ist eine freie Asset- und IT-Management-Software. In Version 11.0.0 bis vor 11.0.3 kann laut NVD ein nicht authentifizierter Benutzer über den Inventory-Endpunkt eine SQL-Injection durchführen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf Version 11.0.3 oder neuer aktualisieren.

GLPI ist eine quelloffene Software zur Asset- und IT-Verwaltung. Ein authentifizierter Nutzer kann PHP-Dateien auf dem GLPI-Server hochladen und deren Ausführung erzwingen. Der Fehler ist in Version 10.0.18 behoben. CVSS-Basiswert: 8.5 (Hoch). Empfohlene Massnahme: Aktualisierung auf GLPI 10.0.18 oder neuer.

In GLPI, einem freien Asset- und IT-Management-Softwarepaket, kann laut NVD ein nicht authentifizierter Nutzer über den Inventory-Endpunkt eine SQL-Injection durchführen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Version 10.0.18 einspielen.

GLPI ist eine freie Software zur IT- und Asset-Verwaltung. Ab Version 9.5.0 bis vor 10.0.18 kann sich ein Nutzer mit einem beliebigen Benutzernamen an GLPI anmelden, sofern der Authentifizierungs-Provider „Mail servers“ mit einer OAuth-Verbindung über das OauthIMAP-Plugin konfiguriert ist und für diesen Namen bereits eine OAuth-Autorisierung besteht. CVSS-Basiswert: 7.5 (Hoch). Version 10.0.18 enthält einen Patch. Empfohlene Massnahme: auf Version 10.0.18 aktualisieren; als Workaround kann der betroffene Authentifizierungs-Provider deaktiviert werden.

GLPI ist eine freie Software zur Asset- und IT-Verwaltung. Ab Version 9.3.0 und vor Version 10.0.17 kann ein authentifizierter Benutzer über die API die Kontrolle über jedes Konto mit gleichem oder niedrigerem Privileg übernehmen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf Version 10.0.17.

In GLPI (ab Version 9.1.0 und vor 10.0.17) kann ein Techniker mit Zugriff auf die API die Kontrolle über ein höher privilegiertes Konto übernehmen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 10.0.17.

GLPI ist eine freie Software für Asset- und IT-Management. Ab Version 10.0.0 und vor Version 10.0.17 kann ein authentifizierter Benutzer über einen Anwendungsendpunkt jedes Benutzerkonto löschen. Version 10.0.17 enthält einen Patch. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Update auf Version 10.0.17.

Im Asset- und IT-Management-Paket GLPI kann ab Version 0.80 bis vor 10.0.17 ein Administrator mit Zugriff auf die Inhalte versendeter Benachrichtigungen die Kontrolle über ein Konto mit höheren Rechten übernehmen. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Update auf Version 10.0.17, die einen Patch für dieses Problem enthält.

GLPI ist eine freie Software für Asset- und IT-Management. Ab Version 0.80 und vor Version 10.0.17 kann ein nicht authentifizierter Nutzer über einen Anwendungsendpunkt prüfen, ob eine E-Mail-Adresse einem gültigen GLPI-Benutzer entspricht. Version 10.0.17 behebt das Problem. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Version 10.0.17 oder neuer.

In GLPI kann ein authentifizierter Benutzer mehrere SQL-Injection-Schwachstellen ausnutzen. Eine davon lässt sich nutzen, um die Daten eines anderen Benutzerkontos zu verändern und dieses zu übernehmen. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung auf die vom Hersteller bereitgestellte fehlerbereinigte Version.

GLPI ist eine Open-Source-Software für Asset- und IT-Management. Ein authentifizierter Benutzer kann eine SQL-Injection-Schwachstelle in einigen AJAX-Skripten ausnutzen, um die Daten eines anderen Benutzerkontos zu verändern und dieses zu übernehmen. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Update auf Version 10.0.16.

GLPI ist eine quelloffene Software für Asset- und IT-Management mit ITIL- Service-Desk-Funktionen, Lizenzverwaltung und Software-Auditing. Ein authentifizierter Benutzer mit Techniker-Rolle kann ein bösartiges PHP- Skript hochladen und den Plugin-Loader kapern, um dieses Skript auszuführen. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Update auf Version 10.0.16 einspielen.

GLPI ist eine freie Asset- und IT-Management-Software. Vor Version 10.0.15 kann ein authentifizierter Nutzer eine SQL-Injection-Schwachstelle über die Kartensuche (map search) ausnutzen. Die Schwachstelle ist in Version 10.0.15 behoben. CVSS-Basiswert: 7.7 (Hoch). Empfohlene Massnahme: auf Version 10.0.15 oder neuer aktualisieren.

GLPI ist eine freie Software für IT-Asset- und IT-Management. Vor Version 10.0.15 kann ein authentifizierter Nutzer über eine SQL-Injection-Schwachstelle in der Funktion für gespeicherte Suchen die Kontodaten eines anderen Nutzers verändern und dessen Konto übernehmen. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: Update auf Version 10.0.15. Ein EPSS-Wert liegt nicht in den Quelldaten vor.

Der GLPI-Agent ist von einer Schwachstelle betroffen, die nur die per MSI unter Windows installierte Variante betrifft. Ein lokaler Nutzer kann durch Ersetzen der GLPI-Server-URL mit einer falschen URL oder Deaktivieren des Dienstes einen Denial of Service des Agenten auslösen. Ist zusätzlich der Deploy-Task installiert, kann ein lokaler böswilliger Nutzer über einen manipulierten Server mit eigener Deploy-Task-Payload eine Privilegieneskalation herbeiführen. CVSS-Basiswert: 7.3 (Hoch). Empfohlene Massnahme: Update auf GLPI-Agent 1.7.2; als Workaround kann der Registry-Schlüssel unter HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall angepasst werden, indem der DWORD-Wert SystemComponent auf 1 gesetzt wird, um den GLPI-Agent aus der Liste installierter Anwendungen zu verbergen.

Der GLPI-Agent ist ein generischer Management-Agent. Vor Version 1.7.2 kann ein lokaler Benutzer den GLPI-Agent-Code oder verwendete DLLs modifizieren, um die Agentenlogik zu verändern und dabei höhere Rechte zu erlangen. Ein Fix ist ab Version 1.7.2 verfügbar. Als Workaround wird die Nutzung des Standard-Installationsordners genannt, da dieser vom System automatisch abgesichert wird. CVSS-Basiswert: 7.3 (Hoch).

GLPI, eine freie Software für IT-Asset- und Service-Management (ITIL Service Desk, Lizenz-Tracking, Software-Audit), enthält eine SQL-Injection-Schwachstelle in der Such-Engine. Ein authentifizierter Benutzer kann diese ausnutzen, um Daten aus der Datenbank zu extrahieren. CVSS-Basiswert: 7.7 (Hoch). Empfohlene Massnahme: Update auf Version 10.0.13.

GLPI bis einschliesslich Version 10.0.12 erlaubt CSV-Injection durch einen Angreifer, der ein Asset mit einem präparierten Titel anlegen kann. CVSS-Basiswert: 8.8 (Hoch).

GLPI ist eine freie Software zur Verwaltung von Assets und IT. Ab Version 10.0.0 und vor Version 10.0.11 kann der Inventory-Endpunkt von GLPI für eine SQL-Injection-Attacke missbraucht werden. Version 10.0.11 enthält einen Patch. Als Umgehungsmassnahme kann das native Inventory deaktiviert werden. CVSS-Basiswert: 8.6 (Hoch).

GLPI, eine freie Asset- und IT-Management-Software, erlaubt ab Version 10.0.0 und vor 10.0.11 auf PHP 7.4 über das LDAP-Serverkonfigurationsformular die Ausführung von zuvor als GLPI-Dokument hochgeladenem Code. CVSS- Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Update auf Version 10.0.11, die den Fehler behebt.

GLPI ist eine freie Software zur Asset- und IT-Verwaltung. Ein API-Benutzer mit Lesezugriff auf die Ressource der Benutzer kann Konten anderer Benutzer übernehmen. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 10.0.10; bekannte Umgehungslösungen bestehen nicht.

In GLPI lässt sich die Verwaltung der UI-Layout-Einstellungen kapern und für eine SQL-Injection missbrauchen, über die ein Administratorkonto übernommen werden kann. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 10.0.10; Workarounds sind nicht bekannt.

In GLPI kann ein angemeldeter Benutzer eines beliebigen Profils die Kanban-Funktion missbrauchen, um beliebige Benutzerfelder zu verändern und so ein fremdes Konto zu übernehmen. Die Lücke wurde in Version 10.0.10 behoben; Umgehungslösungen sind nicht bekannt. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: auf GLPI 10.0.10 aktualisieren.

GLPI (Gestionnaire Libre de Parc Informatique), eine freie Software für IT-Asset-Management mit ITIL-Service-Desk-Funktionen, erlaubt es, den Dokumenten-Upload-Prozess so umzuleiten, dass dabei gezielt Dateien gelöscht werden. CVSS-Basiswert: 7.7 (Hoch). Empfohlene Massnahme: Update auf Version 10.0.10; es sind keine Workarounds bekannt.

Das Tag-Plugin für GLPI 11 vor Version 2.14.4 speichert den Tag-Namen ohne HTML-Bereinigung und rendert ihn über PluginTagTag::preKanbanContent() ohne Ausgabe-Escaping in das Markup der Kanban-Badges, was zu Cross-Site-Scripting führt. CVSS-Basiswert: 6.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: das Tag-Plugin auf Version 2.14.4 aktualisieren.

GLPI ist ein freies Paket zur Verwaltung von IT-Assets. In den Versionen 11.0.0 bis 11.0.6 kann ein authentifizierter Benutzer mit Leseberechtigung für Formulare die Struktur nicht freigegebener Formulare exportieren. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.