FICHE CVE

CVE-2026-49469

Publiée le 2026-09-25 · Dernière modification le 2026-09-25

🇫🇷 EN BREF

Les installations du logiciel de gestion d'actifs GLPI utilisant LDAP pour l'importation des utilisateurs sont concernées. Un attaquant disposant de privilèges de compte « hotliner » ou « technicien » peut contourner vos filtres LDAP par défaut pour visualiser des objets de l'annuaire qui devraient être restreints. Cela nécessite un accès réseau et une authentification valide avec des privilèges élevés, mais aucune interaction d'un tiers n'est requise pour exploiter cette faille.

CVSS 4.04.6 MOYENNE

Type de faiblesse

CWE-90

Publiée2026-09-25

Dernière modification2026-09-25

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisÉlevés

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Élevée

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

GLPI is a free asset and IT management software package. From 0.70 until 10.0.26 and 11.0.8, an authenticated hotliner or technician can submit crafted criteria through the user import feature to bypass the configured default LDAP filter. This allows access to LDAP objects that the default filter was intended to exclude. This issue is fixed in versions 11.0.8 and 10.0.26.