CVE-2020-26212

GLPI (Gestionnaire Libre de Parc Informatique), ITIL Service Desk funksiyaları, lisenziyaların izlənilməsi və proqram təminatının auditini təmin edən pulsuz Aktiv və İT İdarəetmə Proqram paketidir. GLPI-nin 9.5.3 versiyasından əvvəlki versiyalarında hər hansı autentifikasiya olunmuş istifadəçi digər bütün istifadəçilərin, hətta administratorların planlaşdırma bölməsinə yalnız oxuma icazələrinə malikdir. Davranışı təkrar etmək üçün addımlar: 1. 'Assistance' > 'Planning' bölməsində ('Super-admin'-ə aid olan 'IT' qrupundan olan) 'eduardo.mozart' istifadəçisi ilə şəxsi planlaşdırmasında yeni bir plan yaradın. 2. CalDAV URL-ni kopyalayın və planlaşdırmanı təqdim olunan URL vasitəsilə sinxronizasiya etmək üçün CalDAV klientindən (məsələn, Thunderbird) istifadə edin. 3. Hər hansı etibarlı istifadəçinin (məsələn, 'Proativa' qrupundan olan 'camila') istifadəçi adını və şifrəsini daxil edin. 4. 'Camila' istifadəçisinin 'eduardo.mozart'-un şəxsi planlaşdırmasına yalnız oxuma girişi var. Eyni davranış hər hansı qrup üçün də baş verir. Məsələn, 'Camila' bu qrupa aid olmasa və 'Self-service' profil icazəsinə malik olsa belə, 'IT' qrupunun planlaşdırmasına giriş imkanına malikdir. Bu problem 9.5.3 versiyasında düzəldilmişdir. Müvəqqəti həll yolu kimi, CalDAV serverinə girişi bloklamaq üçün `caldav.php` faylı silinə bilər.