VULNERABILIDADDetectada 04 NOV · 21:44

CVE-2026-47678 Inyección SQL ciega basada en tiempo en los dropdowns de GLPI

Cualquier usuario autenticado puede enviar valores manipulados al endpoint de obtención de valores de dropdowns que se incorporan a una consulta de base de datos, lo que permite inyección SQL ciega basada en tiempo. Se corrige en las versiones 11.0.8 y 10.0.26.

8.7ALTA

CVSS 4.0

Probabilidad de explotación · EPSS del 09/110,2 % · percentil 14
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

glpi-project glpi
>= 9.4.0, < 10.0.26>= 11.0.0, < 11.0.8

Qué hacer

Verificá si usás glpi y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 4.0 · 8.7 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Vector de ataqueRed
Complejidad del ataqueBaja
Requisitos del ataqueNinguno
Privilegios requeridosBajos
Interacción del usuarioNinguna
Confidencialidad (sistema vulnerable)Alta
Integridad (sistema vulnerable)Alta
Disponibilidad (sistema vulnerable)Alta
Confidencialidad (sistemas posteriores)Ninguna
Integridad (sistemas posteriores)Ninguna
Disponibilidad (sistemas posteriores)Ninguna

Descripción original

GLPI is a free asset and IT management software package. From 9.4.0 until 10.0.26 and 11.0.8, any authenticated user can submit crafted values to the dropdown values fetching endpoint that are incorporated into a database query. This permits SQL injection through the dropdown endpoint. This issue is fixed in versions 11.0.8 and 10.0.26.

Referencias (5)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.