Cedric-Anne

Existe um problema onde um técnico pode armazenar um payload de Cross-Site Scripting (XSS) nos custos do ITIL. XSS é um tipo de falha de segurança que permite a um invasor injetar scripts maliciosos em páginas web visualizadas por outros usuários.

O GLPI é um pacote de software para Gestão de Ativos e de TI. Um técnico pode utilizar um payload malicioso para provocar uma falha de Cross-Site Scripting (XSS) armazenado no kanban do projeto.

The issue is related to an unlimited file upload vulnerability in the GLPI system, which can be exploited by a remote attacker to upload arbitrary files to the system. This can potentially allow the deletion of some files by diverting the document upload process. The GLPI system is a free asset and IT management software package that provides ITIL Service Desk features, licenses tracking, and software auditing.

The issue is related to insufficient cleaning of user data when processing external links, allowing a user to inject and execute arbitrary HTML code and scripts in the user's browser within the context of the vulnerable website. This can enable a remote attacker to steal potentially confidential information, modify the appearance of web pages, and perform phishing and drive-by download attacks.

The issue allows unauthorized access to inventory files. If anonymous access to FAQ is allowed, inventory files become accessible by unauthenticated users.

O plug-in SCCM para GLPI apresenta um problema em que a página de configuração fica acessível publicamente em modo somente leitura nas versões anteriores à 2.3.0. Esse problema foi corrigido na versão 2.3.0.

O problema está relacionado à neutralização inadequada de entradas durante a criação de páginas da web, permitindo que um invasor remoto realize um ataque de script entre sites (XSS). Um usuário com direitos para criar e compartilhar painéis pode construir um painel contendo código JavaScript, e qualquer usuário que abrir esse painel estará sujeito a um ataque XSS.

Um script público do plugin pode ser usado para ler o conteúdo de arquivos do sistema.