CVE-2023-36808highCWE-89

CVE-2023-36808: falha de alta gravidade em glpi-project glpi

GLPI vulnerable to SQL injection through Computer Virtual Machine information

Publicada em · Atualizada em

33Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 8.6epss 52%
probabilidade de exploração
52%top 1% das CVEs
exploração observada
nãonenhuma fonte reporta
Em resumo

O GLPI, um software gratuito de gerenciamento de TI, tem uma falha no formulário de Máquina Virtual de Computador que permite que atacantes injetem comandos SQL maliciosos. Isso pode permitir que um atacante roube, modifique ou delete dados sensíveis do sistema.

Detalhe técnico

Vulnerabilidade de injeção SQL existe no processamento do formulário de Máquina Virtual de Computador no GLPI versões 0.80 até 10.0.7, explorável via requisições de inventário sem sanitização adequada de entrada. Um atacante com acesso para enviar informações de VM pode executar consultas SQL arbitrárias, comprometendo potencialmente integridade e confidencialidade de todo o banco de dados.

Resumo gerado e traduzido por IA a partir da descrição oficial.
GLPI is a free asset and IT management software package. Starting in version 0.80 and prior to version 10.0.8, Computer Virtual Machine form and GLPI inventory request can be used to perform a SQL injection attack. Version 10.0.8 has a patch for this issue. As a workaround, one may disable native inventory.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
Produtos afetados
glpi-project · glpi
CVEs relacionadas — glpi-project glpi

No mesmo produto, das mais perigosas para as menos.

CVE-2025-24799HIGHGLPI allows unauthenticated SQL injection through the inventory endpointEPSS 86.7%CVE-2020-15175HIGHUnauthenticated File Deletion in GLPIEPSS 71.5%CVE-2023-46727HIGHGLPI SQL injection through inventory agent requestEPSS 67.7%CVE-2024-29889HIGHGLPI contains an SQL injection through the saved searchesEPSS 63.0%CVE-2024-31456HIGHGLPI contains an authenticated SQL injectionEPSS 59.1%CVE-2024-27096HIGHSQL Injection in through the search engineEPSS 58.8%
Referências
https://github.com/glpi-project/glpi/releases/tag/10.0.8https://github.com/glpi-project/glpi/security/advisories/GHSA-vf5h-jh9q-2gjm