CVE-2023-41323mediumCWE-200

CVE-2023-41323: falha de média gravidade em glpi-project glpi

Users login enumeration by unauthenticated user in GLPI

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar glpi

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

25Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.3epss 34%
Em resumo

Um atacante sem conta no GLPI consegue descobrir nomes de usuários válidos explorando como o sistema responde a tentativas de login, o que pode ser usado para depois tentar adivinhar senhas.

Detalhe técnico

Vulnerabilidade de enumeração de usuários sem autenticação no GLPI permite que atacantes identifiquem nomes de usuários válidos através da análise de respostas ou diferenças de comportamento do sistema. Essa divulgação de informações (CWE-200) facilita ataques subsequentes de força bruta contra credenciais.

Resumo gerado e traduzido por IA a partir da descrição oficial.
GLPI stands for Gestionnaire Libre de Parc Informatique is a Free Asset and IT Management Software package, that provides ITIL Service Desk features, licenses tracking and software auditing. An unauthenticated user can enumerate users logins. Users are advised to upgrade to version 10.0.10. There are no known workarounds for this vulnerability.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Produtos afetados
glpi-project · glpi
CVEs relacionadas — glpi-project glpi

No mesmo produto, das mais perigosas para as menos.

CVE-2025-24799HIGHGLPI allows unauthenticated SQL injection through the inventory endpointEPSS 86.8%CVE-2020-15175HIGHUnauthenticated File Deletion in GLPIEPSS 69.9%CVE-2023-46727HIGHGLPI SQL injection through inventory agent requestEPSS 67.7%CVE-2024-29889HIGHGLPI contains an SQL injection through the saved searchesEPSS 64.7%CVE-2024-31456HIGHGLPI contains an authenticated SQL injectionEPSS 59.1%CVE-2024-27096HIGHSQL Injection in through the search engineEPSS 58.8%