EXPLOIT PÚBLICODetectada 29 OCT · 22:54

CVE-2026-26026 Inyección de plantillas del lado del servidor en GLPI

Una inyección de plantillas por parte de un administrador permite la ejecución remota de código. Afecta a GLPI desde la versión 11.0.0 hasta antes de la 11.0.6, que corrige el problema.

9.1CRÍTICA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/1112,0 % · percentil 96
Explotada activamenteNo confirmada
Exploit públicoSí, 1

Afectados

glpi-project glpi
>= 11.0.0, < 11.0.6

Qué hacer

Verificá si usás glpi y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Priorizá la corrección: hay código de explotación público.

Exploits públicos

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

PeaMatNgu/CVE-2026-26026-GLPI Minimal source comparison and local lab files for CVE-2026-26026 in GLPI 11.0.5 and 11.0.629 OCT · 22:54

Calculadora CVSS

CVSS 3.1 · 9.1 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosAltos
Interacción del usuarioNinguna
AlcanceCambiado
ConfidencialidadAlta
IntegridadAlta
DisponibilidadAlta

Descripción original

GLPI is a free asset and IT management software package. From 11.0.0 to before 11.0.6, template injection by an administrator lead to RCE. This vulnerability is fixed in 11.0.6.

Referencias (1)

github.com/glpi-project/glpi/security/advisories/GHSA-2c98-648q-h27h

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.