PT-2026-136233
CVE-2026-121559
·
تاريخ النشر
2026-11-03
·
تاريخ التحديث
2026-11-03
الوصف من
CVSS 4.0
8.6
عاليةالمقاييسAV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
GLPI الإصدارات من 10.0.0 إلى 10.0.27
GLPI الإصدارات من 11.0.0 إلى 11.0.9
Description
يمكن للمستخدمين المصرح لهم تصعيد امتيازاتهم من خلال استنساخ الحسابات. يمكن للمستخدم الذي يمتلك ملف تعريف فني (Technician) استنساخ حساب مدير خارق (Super-Admin) عن طريق تقديم اسم تسجيل دخول وكلمة مرور جديدين. يحدث هذا لأن الدالة
getCloneRelations() في فئة User تقوم بنسخ جميع تعيينات Profile User و Group User دون إجراء فحوصات الأذونات اللازمة، مما يؤدي إلى إنشاء حساب مدير خارق يتحكم فيه المهاجم.Recommendations
تحديث إصدارات GLPI من 10.0.0 إلى 10.0.27 إلى الإصدار 10.0.28.
تحديث إصدارات GLPI من 11.0.0 إلى 11.0.9 إلى الإصدار 11.0.10.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾