- Son 7 gün
- CWE-288
CVE-2026-52848
GLPI MFA atlatma açığı (kimlik doğrulama adımında iki faktörlü doğrulamanın aşılması)
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, şirketin BT ve varlık yönetim sisteminde ek güvenlik katmanını devre dışı bırakabilir ve yalnızca parola bilen kişilerin sisteme girmesine yol açabilir. Etkilenen sürümü kullanan kuruluşlar için risk yüksektir ve güncelleme acil olarak planlanmalıdır.
ÖzetTürkçe
GLPI, varlık ve BT yönetimi için kullanılan ücretsiz bir yazılım paketidir. 11.0.0 ile 11.0.8 öncesi sürümlerde, oturum açma aşamasında kimliği doğrulanmamış bir kullanıcı, hazırlanmış bir URL kullanarak tek kullanımlık şifre (OTP) doğrulamasını atlayabilmektedir. Bu durum iki faktörlü kimlik doğrulamayı etkisiz hale getirir.
Saldırgan ne yapabilir?
Saldırgan, parolası ele geçirilmiş bir hesap için ikinci doğrulama adımını atlayarak hesaba yetkisiz erişim sağlayabilir. Bu da yönetim paneline ve hesapta tutulan verilere erişim anlamına gelebilir.
Kaynaktaki açıklama (İngilizce)
GLPI is a free asset and IT management software package. From 11.0.0 until 11.0.8, during the login phase, an unauthenticated user could use a crafted URL to skip one-time-password verification, defeating two-factor authentication. This issue is fixed in version 11.0.8.
Ne yapmalı?
- GLPI'ı 11.0.8 veya üzeri bir sürüme güncelleyin. Genel öneri
- Güncelleme yapılana kadar, GLPI'a erişimi yalnızca güvenilir ağlarla ya da VPN üzerinden sınırlandırın. Genel öneri
- Yetkili hesapların parolalarını değiştirin ve son oturum açma kayıtlarını, beklenmeyen giriş izlerine karşı inceleyin. Genel öneri
Ek önlemler
- Yönetici hesaplarında iki faktörlü doğrulamanın gerçekten uygulandığını, güncelleme sonrasında test ederek doğrulayın. Genel öneri
- Web sunucusu ve uygulama kayıtlarında, alışılmadık URL parametreleriyle yapılan istekleri izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| glpi-project glpi | Sürüm belirtilmemiş | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.