CVE-2026-11321
Açıklama
GLPI 2.15.6 (GLPI 11 sürümleri) için DataInjection eklentisi, CSV içe aktarma sırasında kullanıcı tarafından sağlanan CSV alan değerlerini parametreleştirme veya kaçış karakterleri kullanmadan doğrudan SQL sorgularına eklemekte ve bu durum kimlik doğrulanmış SQL enjeksiyonuna yol açmaktadır. Data injection özelliğine erişimi olan kimlik doğrulanmış bir kullanıcı, oluşturulan sorguyu manipüle etmek ve zaman tabanlı kör enjeksiyon yoluyla veritabanı bilgilerini çıkarmak için eşlenen bir alana (örneğin Seri Numarası) SLEEP() gibi SQL ifadeleri yerleştirebilir.
Nasıl düzeltilir
- pluginsGLPI datainjection2.15.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pluginsGLPI datainjection | 2.15.6 ≤ v < 2.15.7 | 2.15.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.