CVE-2020-26212

GLPI, Gestionnaire Libre de Parc Informatique anlamına gelir ve ITIL Hizmet Masası özellikleri, lisans takibi ve yazılım denetimi sağlayan ücretsiz bir Varlık ve BT Yönetim Yazılımı paketidir. GLPI'nin 9.5.3 sürümünden önceki versiyonlarında, kimliği doğrulanmış herhangi bir kullanıcı, yönetici olanlar da dahil olmak üzere diğer tüm kullanıcıların planlamalarına salt okunur erişim yetkisine sahiptir. Davranışı yeniden oluşturma adımları: 1. 'Assistance' > 'Planning' kısmında, ('Super-admin' grubuna ait 'IT' grubundan olan) 'eduardo.mozart' kullanıcısı ile kişisel planlamasına yeni bir planlama oluşturun. 2. CalDAV URL'sini kopyalayın ve planlamayı sağlanan URL ile senkronize etmek için bir CalDAV istemcisi (örneğin Thunderbird) kullanın. 3. Herhangi bir geçerli kullanıcının (örneğin 'Proativa' grubundan 'camila') kullanıcı adını ve şifresini girin. 4. 'Camila', 'eduardo.mozart' kişisel planlamasına salt okunur erişime sahiptir. Aynı durum her grup için geçerlidir. Örneğin; 'Camila', bu gruba ait olmasa ve 'Self-service' profil iznine sahip olsa bile 'IT' grubu planlamasına erişebilir. Bu sorun 9.5.3 sürümünde düzeltilmiştir. Geçici bir çözüm olarak, CalDAV sunucusuna erişimi engellemek için `caldav.php` dosyası kaldırılabilir.