CVE-2023-28849
Açıklama
GLPI, ücretsiz bir varlık ve BT yönetim yazılım paketidir. Versiyon 10.0.0'dan başlayarak versiyon 10.0.7 öncesine kadar olan sürümlerde, GLPI inventory uç noktası bir SQL injection saldırısını tetiklemek için kullanılabilir. Ayrıca, XSS saldırısı gerçekleştirmek amacıyla kullanılabilecek kötü amaçlı kodları depolamak için de kullanılabilir. Varsayılan olarak GLPI inventory uç noktası herhangi bir kimlik doğrulama gerektirmez. Versiyon 10.0.7 bu sorun için bir yama içermektedir. Geçici çözüm olarak yerel envanter (native inventory) devre dışı bırakılmalıdır.
Nasıl düzeltilir
- glpi-project glpi10.0.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| glpi-project glpi | 10.0.0 ≤ v < 10.0.7 | 10.0.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.