VULNERABILIDADDetectada 04 NOV · 21:44

CVE-2026-57152 Acceso indebido a documentos en GLPI por lógica de permisos

Bajo ciertas condiciones, la lógica de permisos de GLPI podía otorgar a un usuario acceso a un documento sin confirmar que estuviera vinculado al elemento objetivo, exponiendo el archivo a quien no debía verlo. Se corrige en las versiones 10.0.26 y 11.0.8.

7.1ALTA

CVSS 4.0

Probabilidad de explotación · EPSS del 09/110,2 % · percentil 15
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

glpi-project glpi
>= 0.85, < 10.0.26>= 11.0.0, < 11.0.8

Qué hacer

Verificá si usás glpi y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 4.0 · 7.1 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Vector de ataqueRed
Complejidad del ataqueBaja
Requisitos del ataqueNinguno
Privilegios requeridosBajos
Interacción del usuarioNinguna
Confidencialidad (sistema vulnerable)Ninguna
Integridad (sistema vulnerable)Alta
Disponibilidad (sistema vulnerable)Ninguna
Confidencialidad (sistemas posteriores)Ninguna
Integridad (sistemas posteriores)Ninguna
Disponibilidad (sistemas posteriores)Ninguna

Descripción original

GLPI is a free asset and IT management software package. From 0.85 until 10.0.26 and from 11.0.0 until 11.0.8, under certain conditions, GLPI permission logic could grant a user access to a document without confirming that the document was linked to the targeted item. This could expose the file to a user who should not be able to view it. This issue is fixed in versions 10.0.26 and 11.0.8.

Referencias (5)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.