CVE-2023-28632
Açıklama
GLPI ücretsiz bir varlık ve BT yönetim yazılım paketidir. 0.83 sürümünden başlayarak 9.5.13 ve 10.0.7 sürümlerinden önceki versiyonlarda, kimliği doğrulanmış bir kullanıcı herhangi bir kullanıcının e-postalarını değiştirebilir ve bu sayede "şifremi unuttum" özelliği aracılığıyla başka bir kullanıcı hesabını ele geçirebilir. E-postaları değiştirerek kullanıcı, GLPI bildirimleri üzerinden hassas verileri de alabilir. 9.5.13 ve 10.0.7 sürümleri bu sorun için bir yama içermektedir. Geçici bir çözüm olarak, `Forgotten password?` olayı ile ilgili tüm bildirimler devre dışı bırakılarak hesap ele geçirme işlemi önlenebilir; ancak bu durum, herhangi bir kullanıcı e-postasının yetkisiz şekilde değiştirilmesini engellemeyecektir.
Nasıl düzeltilir
- glpi-project glpi9.5.13, 10.0.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| glpi-project glpi | 0.83 ≤ v < 9.5.13, 10.0.0 ≤ v < 10.0.7 | 9.5.13, 10.0.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.