CVE-2023-41320highCWE-89

CVE-2023-41320: falha de alta gravidade em glpi-project glpi

Account takeover via SQL Injection in UI layout preferences in GLPI

Publicada em · Atualizada em

33Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 8.1epss 36%
probabilidade de exploração
36%top 2% das CVEs
exploração observada
nãonenhuma fonte reporta
Em resumo

GLPI possui uma falha de injeção SQL na funcionalidade de preferências de layout que permite que atacantes assumam contas de administrador. Um atacante pode explorar essa vulnerabilidade para obter controle total do sistema.

Detalhe técnico

Uma vulnerabilidade de injeção SQL existe no gerenciamento de preferências de layout da GLPI, permitindo que atacantes injetem consultas SQL maliciosas. Essa injeção pode ser usada para extrair e modificar dados sensíveis, incluindo credenciais de administrador, resultando em sequestro de conta e comprometimento completo do sistema.

Resumo gerado e traduzido por IA a partir da descrição oficial.
GLPI stands for Gestionnaire Libre de Parc Informatique is a Free Asset and IT Management Software package, that provides ITIL Service Desk features, licenses tracking and software auditing. UI layout preferences management can be hijacked to lead to SQL injection. This injection can be use to takeover an administrator account. Users are advised to upgrade to version 10.0.10. There are no known workarounds for this vulnerability.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
Produtos afetados
glpi-project · glpi
CVEs relacionadas — glpi-project glpi

No mesmo produto, das mais perigosas para as menos.

CVE-2025-24799HIGHGLPI allows unauthenticated SQL injection through the inventory endpointEPSS 86.7%CVE-2020-15175HIGHUnauthenticated File Deletion in GLPIEPSS 71.5%CVE-2023-46727HIGHGLPI SQL injection through inventory agent requestEPSS 67.7%CVE-2024-29889HIGHGLPI contains an SQL injection through the saved searchesEPSS 63.0%CVE-2024-31456HIGHGLPI contains an authenticated SQL injectionEPSS 59.1%CVE-2024-27096HIGHSQL Injection in through the search engineEPSS 58.8%
Referências
https://github.com/glpi-project/glpi/security/advisories/GHSA-mv2r-gpw3-g476