CVE-2021-21313

Versões do GLPI anteriores à 9.5.4

O problema diz respeito a uma vulnerabilidade no endpoint “/ajax/common.tabs.php”, onde pelo menos dois parâmetros, target e id, não são devidamente sanitizados. Isso pode ser explorado usando cargas específicas, dependendo de qual parâmetro é alvo. Por exemplo, o endpoint pode ser explorado manipulando os parâmetros target e id para executar código malicioso, como alterar o cookie do documento.

Para versões anteriores à 9.5.4, atualize para a versão 9.5.4 ou posterior para resolver o problema.

Como solução temporária, considere restringir o acesso ao endpoint “/ajax/common.tabs.php” até que um patch seja aplicado.

Evite usar os parâmetros target e id no endpoint da API afetado até que o problema seja resolvido.