BDU:2023-03385 (CVE-2023-28855)

Уязвимость системы работы с заявками и инцидентами GLPI, связанная с неправильной нейтрализацией ввода во время генерации веб-страницы, позволяющая нарушителю выполнять произвольные SQL-запросы в базе данных.

Опубликовано: 2023-06-26

Описание

Уязвимость системы работы с заявками и инцидентами GLPI связана с недостаточной очисткой пользовательских данных на страницах поиска, злоумышленник может заставить жертву перейти по специально созданной ссылке и выполнить произвольный код HTML и скрипта в браузере пользователя в контексте уязвимого веб-сайта. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, украсть потенциально конфиденциальную информацию, изменить внешний вид веб-страницы, выполнить фишинговые атаки и атаки типа «драйв-загрузка»

Затрагиваемое ПО и версии

РЕД ОС (7.3)GLPI (до 9.5.13)GLPI (до 10.0.7)

Способ устранения

Использование рекомендаций:

Для GLPI:
Обновление программного обеспечения до версии 9.5.1
Обновление программного обеспечения до версии 10.0.7

Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Оценка CVSS

Балл	6.4 — средняя опасность

Источники и патчи

https://redos.red-soft.ru/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-glpi-cve-2023-28855-cve-2023-28852-cve-2023-28849-cve-2023-28838-cve-2023/https://github.com/glpi-project/glpi/releases/tag/10.0.7 https://github.com/glpi-project/glpi/releases/tag/9.5.13 https://github.com/glpi-project/glpi/security/advisories/GHSA-r93q-chh5-jgh4 https://redos.red-soft.ru/support/secure/

Проверьте безопасность своего сайта и почты → Полная проверка домена