Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-89

CVE-2026-47678

GLPI dropdown değerleri uç noktasında kör zamanlamalı SQL enjeksiyonu

glpi-project glpi

Yüksek 8,7 CVSS 4.0
Yayımlandı
Güncellendi
5 Kas 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, sisteme giriş yapabilen herhangi bir kullanıcının BT varlık ve envanter verilerine erişmesine ya da bu verileri değiştirmesine olanak tanıyabilir. Etkilenen sürümleri kullanan kuruluşlar için risk yüksektir ve güncelleme öncelikli olarak planlanmalıdır.

ÖzetTürkçe

GLPI, varlık ve BT yönetimi için kullanılan ücretsiz bir yazılım paketidir. 9.4.0 ile 10.0.26 ve 11.0.8 sürümleri arasındaki sürümlerde, kimlik doğrulaması yapılmış herhangi bir kullanıcı, dropdown değerlerini getiren uç noktaya özel hazırlanmış değerler göndererek veritabanı sorgusunu etkileyebilir. Etkilenen sistemler, GLPI'nin bu aralıktaki sürümlerini çalıştıran kurumlar ve hizmet sağlayıcılardır.

Saldırgan ne yapabilir?

Saldırgan, geçerli bir kullanıcı hesabıyla veritabanı sorgularını manipüle ederek veritabanındaki verileri okuyabilir veya değiştirebilir; yanıt süresine dayalı kör zamanlamalı yöntemle bilgi sızdırabilir.

Kaynaktaki açıklama (İngilizce)

GLPI is a free asset and IT management software package. From 9.4.0 until 10.0.26 and 11.0.8, any authenticated user can submit crafted values to the dropdown values fetching endpoint that are incorporated into a database query. This permits SQL injection through the dropdown endpoint. This issue is fixed in versions 11.0.8 and 10.0.26.

Ne yapmalı?

  1. GLPI'yi 10.0.26 veya 11.0.8 sürümüne (kullandığınız dal hangisiyse ona uygun olan) güncelleyin. Genel öneri
  2. Güncellemeden önce veritabanınızı yedekleyin ve güncelleme sonrası dropdown alanlarının normal çalıştığını doğrulayın. Genel öneri
  3. Güncelleme yapamıyorsanız, kullanıcı hesaplarını gözden geçirerek gereksiz hesapları devre dışı bırakın ve yetkisiz erişimi kısıtlayın. Genel öneri

Ek önlemler

  • Veritabanı sunucusunda GLPI'ye ait hesabın yetkilerini yalnızca gerekli tablolarla sınırlayın. Genel öneri
  • Web sunucu ve uygulama günlüklerinde dropdown uç noktasına yönelik olağandışı yoğun veya uzun süren istekleri izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
glpi-project glpi Sürüm belirtilmemiş –

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.