DUPIN Alertas · glpi-projecthttps://alertas.dupin.com.ar/fabricante/glpi-project/Alertas de vulnerabilidades de glpi-project.esThu, 05 Nov 2026 00:44:59 +000010Vulnerabilidad: CVE-2026-47678 · Inyección SQL ciega basada en tiempo en los dropdowns de GLPIhttps://alertas.dupin.com.ar/cve/CVE-2026-47678/tg:63400Thu, 05 Nov 2026 00:44:59 +0000VulnerabilidadCualquier usuario autenticado puede enviar valores manipulados al endpoint de obtención de valores de dropdowns que se incorporan a una consulta de base de datos, lo que permite inyección SQL ciega basada en tiempo. Se corrige en las versiones 11.0.8 y 10.0.26.Vulnerabilidad: CVE-2026-53631 · Ampliación no autorizada de visibilidad de elementos de base de conocimiento, recordatorios y RSS en GLPIhttps://alertas.dupin.com.ar/cve/CVE-2026-53631/tg:63399Thu, 05 Nov 2026 00:44:59 +0000VulnerabilidadCualquier usuario autenticado podía enviar una petición manipulada para cambiar la visibilidad de elementos de base de conocimiento, recordatorios o feeds RSS y luego acceder a contenido que debía permanecer restringido. Se corrige en las versiones 10.0.27 y 11.0.9.Vulnerabilidad: CVE-2026-52848 · Evasión de autenticación de segundo factor (MFA) en GLPIhttps://alertas.dupin.com.ar/cve/CVE-2026-52848/tg:63398Thu, 05 Nov 2026 00:44:58 +0000VulnerabilidadDurante el inicio de sesión, un usuario no autenticado podía usar una URL manipulada para omitir la verificación de contraseña de un solo uso y eludir la autenticación de dos factores. Se corrige en la versión 11.0.8.Vulnerabilidad: CVE-2026-57152 · Acceso indebido a documentos en GLPI por lógica de permisoshttps://alertas.dupin.com.ar/cve/CVE-2026-57152/tg:63393Thu, 05 Nov 2026 00:44:51 +0000VulnerabilidadBajo ciertas condiciones, la lógica de permisos de GLPI podía otorgar a un usuario acceso a un documento sin confirmar que estuviera vinculado al elemento objetivo, exponiendo el archivo a quien no debía verlo. Se corrige en las versiones 10.0.26 y 11.0.8.Exploit público: CVE-2026-26026 · Inyección de plantillas del lado del servidor en GLPIhttps://alertas.dupin.com.ar/cve/CVE-2026-26026/tg:62146Fri, 30 Oct 2026 01:54:00 +0000Exploit públicoUna inyección de plantillas por parte de un administrador permite la ejecución remota de código. Afecta a GLPI desde la versión 11.0.0 hasta antes de la 11.0.6, que corrige el problema.Exploit público: CVE-2025-24801 · Ejecución remota de código en GLPIhttps://alertas.dupin.com.ar/cve/CVE-2025-24801/tg:59073Thu, 15 Oct 2026 01:53:23 +0000Exploit públicoGLPI es un paquete de software libre de gestión de activos y TI. Un usuario autenticado puede subir y forzar la ejecución de archivos *.php ubicados en el servidor GLPI. Corrige en 10.0.18.