GLPI 11.0.8 behebt Remotecodeausführung über den Formularimport (CVE-2026-48482) und weitere Schwachstellen mit hohem Schweregrad

Was passiert ist

Das schwerwiegendste Problem ist CVE-2026-48482, eine Schwachstelle für Remotecodeausführung in GLPI 11.0.0 bis vor 11.0.8. Ein Benutzer mit Formularadministratorrechten kann ein Formular mit einer präparierten Illustrations- oder Szenenkennung importieren, die aus dem vorgesehenen Verzeichnis für benutzerdefinierte Assets herausführt. Die importierte Datei kann anschließend an einen ausführbaren Speicherort auf dem Server geschrieben werden, sodass ein schädliches Skript aus der Ferne aufgerufen werden kann. GLPI stuft dies als kritisch ein, mit einem CVSS 4.0-Wert von 9,4: Netzwerkangriffsvektor, geringe Angriffskomplexität, erforderliche hohe Privilegien und keine Benutzerinteraktion.

Das Release 11.0.8 von GLPI behebt außerdem neun weitere Probleme. GHSA-hgr8-qvp5-mhch ermöglicht es beliebigen Benutzern, eine URL zu erstellen, die die Überprüfung des Einmalkennworts bei der Anmeldung überspringt. CVE-2026-47679 ermöglicht es jedem angemeldeten Benutzer, über den Ablauf zur Aktualisierung des Profilbilds das Löschen einer vom Angreifer ausgewählten Datei anzufordern. SQL-Injection besteht am Endpunkt für Dropdown-Werte für alle authentifizierten Benutzer sowie im Verlaufstab für Benutzer mit READ-Rechten auf Protokolle. Darüber hinaus behebt das Release persistentes Cross-Site-Scripting in den Website-Feldern der Lieferanten, reflektiertes Cross-Site-Scripting in Dashboards, eine fehlende Ratenbegrenzung bei der TOTP-Überprüfung, wenn die primären Anmeldedaten bekannt sind, eine Rechteausweitung über die authtype-API, mit der sich die Authentifizierungsmethode eines anderen Benutzers ändern und unter älteren REST- oder SSO-Konfigurationen eine Kontoübernahme ermöglichen lässt, sowie eine Umgehung der Autorisierung im Formularkontext, die unbefugte Lesezugriffe auf Dokumente ermöglicht.

Keine dieser Schwachstellen ist in der CISA KEV aufgeführt, und in den CVE-Einträgen wird keine Ausnutzung in freier Wildbahn genannt.

Wer betroffen ist

GLPI ist eine freie Software für Asset- und IT-Management, die häufig als internes Helpdesk- und Asset-Register betrieben wird. CVE-2026-48482, GHSA-hgr8-qvp5-mhch, CVE-2026-49470 und CVE-2026-53610 betreffen GLPI 11.0.0 bis vor 11.0.8. CVE-2026-55214 betrifft GLPI 11.0.6 bis vor 11.0.8, und CVE-2026-53626 betrifft GLPI 11.0.5 bis vor 11.0.8. CVE-2026-47679, GHSA-v774-5g3p-vxg2 und CVE-2026-53629 betreffen GLPI 10.0.0 bis vor 10.0.26 sowie 11.0.0 bis vor 11.0.8; die SQL-Injection-Schwachstellen GHSA-v774-5g3p-vxg2 und CVE-2026-53629 betreffen außerdem GLPI 9.4.0 bis vor 10.0.26. CVE-2026-53625 betrifft GLPI 0.70 bis vor 10.0.26 sowie 11.0.0 bis vor 11.0.8.

Was jetzt zu tun ist

1. Führen Sie ein Upgrade auf ein korrigiertes Release durch. GLPI 11.0.8 behebt die Probleme, die GLPI 11.0.0 bis vor 11.0.8 betreffen. GLPI 10.0.26 behebt Probleme, die GLPI 9.4.0 bis vor 10.0.26 sowie GLPI 10.0.0 bis vor 10.0.26 betreffen. Wenn Sie GLPI 0.70 bis vor 10.0.26 einsetzen, ist 10.0.26 das korrigierte Release für CVE-2026-53625. Prüfen Sie vor der Wahl der Zielversion, welche CVEs auf Ihr Release zutreffen.
2. Für dieses Paket hat GLPI keine Problemumgehung veröffentlicht. Wenn Sie nicht sofort aktualisieren können, schränken Sie den Netzwerkzugriff auf GLPI ein und überprüfen Sie Konten mit hohen Berechtigungen, einschließlich Formularadministratoren und Benutzern älterer Anmeldungen über die API REST oder SSO.
3. Überprüfen Sie nach dem Einspielen der Sicherheitsupdates Änderungen an den Authentifizierungsmethoden und setzen Sie Zugangsdaten zurück, wenn eine Kontoübernahme möglich gewesen sein könnte, insbesondere dort, wo ältere Anmeldungen über die API REST oder SSO verwendet werden.

Wie man es erkennt

Der Hersteller hat für diese Schwachstellen keine spezifischen Kompromittierungsindikatoren veröffentlicht. Prüfen Sie Anwendungs- und Webserverprotokolle auf ungewöhnliche Formularimporte, Anfragen zur Aktualisierung des Profilbilds, Abrufe von Dropdown-Werten und Anfragen im Verlaufstab mit unerwarteten Parametern, wiederholt fehlgeschlagene TOTP-Übermittlungen sowie präparierte URLs für Dashboards oder Lieferantenlisten. Prüfen Sie das Web-Stammverzeichnis und die Verzeichnisse für benutzerdefinierte Assets auf unerwartete ausführbare Dateien.

Über den Patch hinaus

Dieses Paket ist ebenso sehr ein Problem des Patch-Zyklus wie ein technisches Problem: GLPI veröffentlicht ein einziges Update 11.0.8, das eine kritische Remotecodeausführung und neun weitere Schwachstellen mit hohem Schweregrad behebt, während ältere betroffene Versionsbereiche auf 10.0.26 verwiesen werden. Die Implementierungs- und Bewertungsleistungen umfassen Penetrationstests und Härtungsprüfungen, mit denen sich Injection- und Authentifizierungsschwächen erkennen lassen, bevor sie den Produktivbetrieb erreichen. Mit Lieferkettenschutz und Drittparteienrisiko verfolgen wir Patch-Zyklen von Anbietern wie GLPI, sodass der Abstand zwischen einem Sicherheitsupdate des Herstellers und der Bereitstellung in Ihrer Umgebung gemessen und kontinuierlich verringert wird.