CVE-2026-52848 Evasión de autenticación de segundo factor (MFA) en GLPI
Durante el inicio de sesión, un usuario no autenticado podía usar una URL manipulada para omitir la verificación de contraseña de un solo uso y eludir la autenticación de dos factores. Se corrige en la versión 11.0.8.
9.2CRÍTICA
CVSS 4.0
- Probabilidad de explotación · EPSS del 09/110,4 % · percentil 31
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
glpi-project glpi
>= 11.0.0, < 11.0.8
Qué hacer
- Verificá si usás glpi y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 4.0 · 9.2 CRÍTICA
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataquePresentes
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Alta
- Integridad (sistema vulnerable)Alta
- Disponibilidad (sistema vulnerable)Alta
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
GLPI is a free asset and IT management software package. From 11.0.0 until 11.0.8, during the login phase, an unauthenticated user could use a crafted URL to skip one-time-password verification, defeating two-factor authentication. This issue is fixed in version 11.0.8.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.