PT-2022-7404

CVE-2022-35946

Publicado

2022-09-14

Atualizado

2024-07-26

Descrição por

CVSS 2.0

9.4

Alta

MétricasAV:N/AC:L/Au:N/C:C/I:C/A:N

Nome do software vulnerável e versões afetadas

Versões do GLPI anteriores à 10.0.3

Descrição

O problema está relacionado à validação inadequada dos dados inseridos na solicitação no controlador do plugin, permitindo o acesso à API de baixo nível da classe Plugin. Isso pode ser explorado por um invasor para alterar dados do banco de dados. O invasor deve ter direitos de atualização em “Configuração geral” para realizar esse ataque.

Recomendações

Para versões anteriores à 10.0.3, atualize para a versão 10.0.3 para resolver o problema.

Para usuários que não possam atualizar, remova o script front/plugin.form.php como uma solução temporária.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

M00Nback

Fornecedores

Produtos afetados

Enumeração de fraquezas