Vulnérabilité d'injection SQL affectant la plateforme ITSM GLPI
Une vulnérabilité d'injection SQL a été identifiée dans la solution de gestion de parc informatique et d'ITSM GLPI. Elle permettrait à un utilisateur d'interagir directement avec la base de données relationnelle et d'exfiltrer des informations confidentielles.
Description
Contexte technique et détails de la vulnérabilité
GLPI est une plateforme d'ITSM open source déployée pour l'inventaire matériel, la gestion des incidents informatiques, des contrats et du cycle de vie des équipements au sein des organisations.
Ces produits sont affectés par les vulnérabilités libellées comme suit :
CVE-2025-24799 : vulnérabilité d'injection SQL (CWE-89) dans les fonctionnalités de filtrage des tickets et d'interrogation du catalogue d'actifs. Un attaquant peut manipuler des paramètres d'entrée non assainis pour exécuter des requêtes arbitraires. Elle est classée élevée avec un score de sévérité de 7.5 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exfiltration non autorisée de données sensibles (inventaire, identifiants, configurations) ;
- Possibilité d'altération des fiches d'actifs et de l'historique des tickets ;
- Atteinte directe à la confidentialité et à l'intégrité de la base de gestion.
Systèmes affectés
Produits, composants et versions concernés
- GLPI : versions 10.0.0 à 10.0.16.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à niveau GLPI vers la version 10.0.17 ou supérieure ;
- Auditer les journaux applicatifs à la recherche de requêtes SQL anomales ;
- Restreindre l'accès à la plateforme GLPI au seul réseau local d'entreprise.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.