CVE-2026-11321
Təsvir
GLPI 2.15.6 (GLPI 11 versiyaları) üçün DataInjection plagini, CSV idxalı zamanı istifadəçi tərəfindən təmin edilən CSV sahə dəyərlərini parametrləşdirmə və ya xüsusi simvolların təmizlənməsi (escaping) olmadan birbaşa SQL sorğularına əlavə edir ki, bu da autentifikasiya olunmuş SQL inyeksiyasına səbəb olur. Data injection funksiyasına giriş imkanı olan autentifikasiya olunmuş istifadəçi, yaradılan sorğunu manipulyasiya etmək və vaxta əsaslanan kor inyeksiya (time-based blind injection) vasitəsilə məlumat bazası məlumatlarını çıxarmaq üçün xəritələnmiş sahəyə (məsələn, Serial Number) SLEEP() kimi SQL ifadələri daxil edə bilər.
Necə düzəltmək olar
- pluginsGLPI datainjection2.15.7 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pluginsGLPI datainjection | 2.15.6 ≤ v < 2.15.7 | 2.15.7 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.