CVE-2022-24868

Versões do GLPI anteriores à 10.0.0

O problema está relacionado à falta de sanitização no upload de arquivos SVG, permitindo que um invasor injete código JavaScript no avatar de um usuário. Isso pode levar a um ataque de script entre sites (XSS) quando qualquer usuário visualizar o avatar. O número estimado de dispositivos potencialmente afetados não foi especificado. Não há informações sobre incidentes reais em que essa vulnerabilidade tenha sido explorada.

A vulnerabilidade pode ser explorada através do upload de um arquivo SVG especialmente criado, o que permite ao invasor realizar um ataque de cross-site scripting.

Os detalhes técnicos sobre a exploração incluem a falta de sanitização no upload de arquivos SVG e a capacidade de injetar javascript no avatar do usuário.

Para versões anteriores à 10.0.0, recomenda-se que os usuários atualizem para uma versão mais recente.

Como solução alternativa temporária, os usuários que não puderem atualizar devem desativar os avatares SVG para minimizar o risco de exploração.