CVE-2026-22247: GLPI: SSRF pelo recurso Webhook

Visão geral

O GLPI é um pacote de software gratuito para gestão de ativos e de TI. Segundo o aviso do fornecedor e o registro da CVE, as versões a partir da 11.0.0 até antes da 11.0.5 permitem que um administrador do GLPI faça o servidor executar uma requisição server-side request forgery (SSRF) por meio do recurso Webhook. A fraqueza é classificada como CWE-918. O registro informa que o problema foi corrigido na versão 11.0.5.

Impacto

Uma SSRF permite que o servidor do GLPI envie requisições para destinos escolhidos por meio do recurso vulnerável. O registro não descreve se isso pode alcançar redes internas ou serviços de metadados em nuvem.
A NVD atribui nota 9.1 pelo CVSS 3.1, com alto impacto em confidencialidade, integridade e disponibilidade. O CNA do GitHub indica nota menor, 4.1, também pelo CVSS 3.1. O registro não explica a diferença.
O privilégio exigido é o de administrador, o que restringe quem pode explorar a falha, mas não elimina o risco de contas administrativas comprometidas ou com privilégios excessivos.

Produtos e versões afetadas

Produto indicado no registro: Glpi-project GLPI.
Faixa afetada: a partir da 11.0.0 e antes da 11.0.5.
O registro não traz uma entrada separada de correções. A descrição e a referência de lançamento apontam a 11.0.5 como versão corrigida.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas para esta análise. Dados do EPSS não estão disponíveis no registro.

Correção e mitigação

Atualize o GLPI para a versão 11.0.5 ou superior, conforme o aviso do fornecedor e as notas de lançamento.
Até a atualização, revise quais contas possuem privilégio de administrador e remova permissões desnecessárias.
Revise as configurações de Webhook existentes e identifique entradas que não foram criadas por pessoal autorizado.
Quando viável, restrinja o tráfego de saída do servidor do GLPI apenas aos destinos necessários.

Orientações de detecção

Audite alterações nas configurações de Webhook e as contas administrativas que as realizaram.
Monitore conexões de saída do servidor do GLPI para endereços internos inesperados ou hosts externos.
Correlacione a atividade administrativa nos logs do GLPI com comportamento de rede incomum no servidor da aplicação.

Limitações das informações disponíveis

O registro não descreve a mecânica técnica da falha, os parâmetros específicos do Webhook envolvidos nem quais alvos internos poderiam ser alcançados. O motivo da diferença entre as notas da NVD e do GitHub não é informado. O registro não contém dados de EPSS ou SSVC. Não se sabe, a partir do registro, se outras versões ou produtos são afetados além da faixa listada.

Perguntas frequentes

O que é a CVE-2026-22247?

É uma vulnerabilidade de server-side request forgery (SSRF) no recurso Webhook do GLPI, um pacote de gestão de ativos e de TI. O registro informa que um administrador do GLPI pode acioná-la nas versões a partir da 11.0.0 e antes da 11.0.5.

Qual versão corrige o problema?

O registro informa que o problema foi corrigido no GLPI 11.0.5. As notas de lançamento da 11.0.5 são referenciadas no registro.

Esta vulnerabilidade está sendo explorada ativamente?

O registro mostra que a CVE não está listada no catálogo KEV da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.