GLPI : une injection SQL sans authentification et des contournements d’accès corrigés
Le CERT-FR a signalé le 27 octobre 2026 plusieurs vulnérabilités du logiciel de gestion de parc et d’assistance GLPI, après les avis publiés par le projet le 26 octobre. Les versions correctives sont 11.0.9 et 10.0.27, à choisir selon la branche déployée.
L’avis GHSA-753w-2942-4pxm décrit une injection SQL sans authentification dans la planification, introduite dans la branche 11.0.8 et corrigée en 11.0.9. Classée élevée, elle reçoit un score 8,7/10 en CVSS 4.0 et menace la confidentialité des données. L’avis ne lui attribue pas encore d’identifiant CVE public.
GHSA-3rr2-mxv6-rmc2 concerne le contournement de la double authentification lors d’une réinitialisation de mot de passe : l’attaquant doit d’abord obtenir le jeton de réinitialisation. Le correctif 11.0.9 traite ce défaut noté 8,6/10 en CVSS 4.0. L’absence de cette condition préalable ne doit pas être passée sous silence.
Un troisième avis vise l’authentification X509 lorsque le serveur web accepte des certificats non vérifiés. Mettre à jour GLPI et vérifier la validation des certificats côté serveur. Ces défauts peuvent exposer comptes et données d’assistance ; les avis consultés n’attestent pas d’exploitation active. Sauvegarder l’instance avant migration et vérifier ensuite la version réellement exécutée.
Mots-clés suggérés : GLPI, authentification, injection SQL, correctifs.
Sources :
Projet GLPI, avis d’injection SQL GHSA-753w-2942-4pxm, 26 octobre 2026
Projet GLPI, avis de contournement MFA GHSA-3rr2-mxv6-rmc2, 26 octobre 2026
