Skip to content
Hacker Posts

GLPI : sept avis corrigés en 11.0.9 et 10.0.27

Le CERT-FR (AVI-1389) relaie sept avis de sécurité GLPI : injection SQL, XSS, contournement et atteinte à l'intégrité. Corrigés en GLPI 11.0.9 et 10.0.27.

Publié le 2 min de lecture
glpialertexsssqliopen-source

Le CERT-FR a publié le 27 octobre 2026 l'avis CERTFR-2026-AVI-1389, qui relaie sept avis de sécurité GitHub (GHSA) pour GLPI, l'outil de gestion de parc et de helpdesk omniprésent dans les parcs informatiques français. Les failles couvrent l'injection SQL, l'injection de code indirecte à distance (XSS), le contournement de la politique de sécurité et l'atteinte à l'intégrité des données. Les correctifs sont dans GLPI 11.0.9 et GLPI 10.0.27.

Versions affectées

  • GLPI 11.0.x antérieures à 11.0.9
  • GLPI antérieures à 10.0.27

L'avis ne cite aucun identifiant CVE : la coordination passe par sept avis GHSA datés du 26 octobre, publiés sur le dépôt du projet. À vérifier au cas par cas pour établir votre exposition :

GHSA-3rr2-mxv6-rmc2
GHSA-5jg3-2qx2-gq7g
GHSA-753w-2942-4pxm
GHSA-75jp-p2vm-9vmh
GHSA-7x93-gxc8-jp8m
GHSA-hv93-qr6v-7mpj
GHSA-pr87-h373-xr6c

Les détails de chaque faille sont dans les avis de sécurité GLPI correspondants.

Statut d'exploitation

Ni le CERT-FR ni les avis GHSA ne mentionnent d'exploitation active ou de preuve de concept publique. Aucune de ces vulnérabilités n'est décrite comme une exécution de code à distance (RCE). Le risque dominant est la compromission de données et le contournement d'autorisations au sein d'une instance GLPI — une cible de valeur, puisqu'elle centralise l'inventaire, les tickets et souvent des identifiants d'équipements.

Que faire

  1. Mettez à jour vers GLPI 11.0.9 (branche 11.0.x) ou GLPI 10.0.27 (branche 10.0.x) selon votre déploiement.
  2. Si votre GLPI est accessible au-delà du réseau d'administration, restreignez l'accès le temps de patcher — une injection SQL exploitable sans authentification forte est un risque direct pour l'inventaire et les comptes.
  3. Après mise à jour, revoyez les comptes et jetons GLPI et les journaux applicatifs à la recherche de requêtes anormales, les XSS stockées survivant au correctif.
  4. Vérifiez vos plugins tiers : ils ne sont pas couverts par ces correctifs cœur et élargissent la surface d'attaque.

Contexte

GLPI concentre l'information la plus utile à un attaquant en phase de reconnaissance — cartographie du parc, comptes de service, identifiants d'accès aux équipements — ce qui en fait une cible privilégiée après un premier pied dans le réseau. Le projet maintient en parallèle les branches 10.0.x et 11.0.x ; traiter ces correctifs comme de la maintenance de routine plutôt que comme un bouchage de brèche reste la bonne hygiène, d'autant que les versions corrigées sont disponibles dès maintenant.

Articles liés