GLPI 11.0.10 et 10.0.28 corrigent un XSS et deux élévations

GLPI a publié le 2 novembre trois avis de sécurité, corrigés dans les versions 11.0.10 et 10.0.28. Un XSS réfléchi noté 8.6 et deux élévations de privilèges exploitables par un compte « technicien » authentifié. Le CERT-FR les relaie dans CERTFR-2026-AVI-1444. Les trois avis indiquent « No known CVE » : pas d'identifiant CVE attribué à ce jour.

Produits et versions concernés

• Branche 11 : versions 11.0.x antérieures à 11.0.10.
• Branche 10 : versions antérieures à 10.0.28.

Le XSS touche toutes les installations en 11.0.0 et au-delà ; les deux élévations remontent jusqu'à la branche 10 (et, pour le clonage, jusqu'à 9.5.0). Déployez la dernière version de votre branche.

Les trois failles

• GHSA-47mc-679g-2jrv — XSS réfléchi dans le widget de résultats de recherche du tableau de bord. CVSS v4 8.6. Une URL forgée contenant une charge XSS s'exécute dans le navigateur de la victime qui l'ouvre. Corrigé en 11.0.10.
• GHSA-c46f-4v9j-5gpc — élévation de privilèges via clonage d'utilisateur. Un technicien utilise la fonction de clonage pour créer un utilisateur doté de plus de droits que les siens. CVSS v4 8.6. Corrigé en 10.0.28 et 11.0.10.
• GHSA-5pgp-cfq7-4j9h — gestion de privilèges incorrecte et autorisation manquante (CWE-269, CWE-862). Un technicien peut supprimer le compte d'un utilisateur disposant de plus de droits que lui. CVSS v4 7.0. Corrigé en 10.0.28 et 11.0.10.

État de l'exploitation

Aucun des trois avis ne signale d'exploitation. Les deux élévations supposent un compte technicien valide — un rôle intermédiaire courant dans les parcs GLPI, souvent attribué largement aux équipes de support. Le XSS, lui, ne demande qu'une victime authentifiée ouvrant une URL piégée. Le scénario réaliste n'est donc pas un attaquant anonyme sur Internet, mais un technicien déjà présent qui outrepasse son périmètre.

Que faire

1. Mettez à jour en 11.0.10 (branche 11) ou 10.0.28 (branche 10).
2. Revoyez l'attribution du profil technicien. Ces deux failles transforment un rôle de support en vecteur d'élévation ; limitez-le aux personnes qui en ont réellement besoin.
3. Auditez les créations, clonages et suppressions de comptes récents si vous ne pouvez pas patcher immédiatement, en cherchant les actions menées par des comptes techniciens sur des comptes mieux dotés.

Contexte

GLPI est omniprésent dans les parcs FR — ITSM, inventaire, gestion de parc — et souvent déployé en interne avec de nombreux comptes techniciens. C'est précisément ce qui donne du poids à des failles « intra-rôle » : pas de contournement d'authentification spectaculaire, mais un rôle intermédiaire qui franchit la barrière au-dessus de lui. Dans un outil où le modèle de droits est la sécurité, une élévation par clonage ou par suppression ciblée vaut un bulletin à part entière.