CVE-2026-26263: Injeção de SQL não autenticada no motor de busca do GLPI
As versões do GLPI da 11.0.0 até antes da 11.0.6 contêm uma injeção de SQL cega baseada em tempo, não autenticada, no motor de busca, classificada como CWE-89. O aviso do fabricante informa que a falha está corrigida na 11.0.6, e a NVD a classifica como crítica com pontuação 9.8. As fontes consultadas não mostram exploração confirmada na natureza.
Visão geral
O GLPI é um pacote de software gratuito para gestão de ativos e de TI. Este registro descreve uma injeção de SQL cega baseada em tempo, não autenticada, no seu motor de busca, afetando versões da 11.0.0 até antes da 11.0.6. A fraqueza é classificada como CWE-89 (Injeção de SQL). O registro informa que o problema está corrigido na 11.0.6.
Impacto
- O vetor registrado na NVD indica alto impacto na confidencialidade, na integridade e na disponibilidade, sem exigir privilégios nem interação do usuário.
- A NVD atribui pontuação 9.8 (crítica). A entrada do GitHub no registro lista 8.1.
- Os dados SSVC do registro indicam impacto técnico total e que o problema não é automatizável.
Produtos e versões afetados
- Produto: GLPI (Glpi-project Glpi).
- Faixa afetada: da 11.0.0 até antes da 11.0.6.
- Versão corrigida: 11.0.6, segundo a descrição do registro.
- A lista estruturada de correções do registro está vazia, então os administradores devem confirmar a correção no aviso do fabricante indicado abaixo.
Status de exploração
O catálogo KEV da CISA não lista este CVE no registro, portanto não é possível confirmar exploração ativa a partir dele. Nenhuma exploração confirmada aparece nas fontes consultadas. O EPSS indica probabilidade de 0.004, com percentil 0.33083, e o campo de exploração do SSVC está como none.
Correção e mitigação
- Atualize o GLPI para a versão 11.0.6 ou posterior, seguindo o aviso de segurança no GitHub.
- Priorize esta atualização em instâncias do GLPI expostas à internet ou amplamente acessíveis, dado que a falha não exige autenticação.
- Se a atualização imediata não for possível, restrinja o acesso à instância do GLPI a usuários e redes confiáveis até que a correção seja aplicada.
Orientação para detecção
- Analise os logs do servidor web e da aplicação em busca de volumes ou padrões incomuns de requisições às funcionalidades de busca, especialmente de origens não autenticadas.
- Observe aumentos inesperados no tempo de resposta das páginas de busca, que podem acompanhar atividade de injeção cega baseada em tempo.
- Correlacione esses sinais com métricas de desempenho do banco de dados e configure alertas para anomalias.
Limitações das informações disponíveis
- O registro não informa a disponibilidade de prova de conceito pública, e detalhes de exploração não são fornecidos aqui por decisão deliberada.
- A lista estruturada de correções está vazia, então a versão corrigida vem apenas da descrição e do aviso do fabricante.
- A NVD e o GitHub atribuem pontuações CVSS diferentes (9.8 e 8.1), e o motivo da diferença não consta no registro.
- Os endpoints exatos de busca afetados não são identificados no registro.
Fontes: aviso no GitHub, entrada na NVD.
Perguntas frequentes
Quais versões do GLPI são afetadas pelo CVE-2026-26263?
O registro indica as versões da 11.0.0 até antes da 11.0.6 como afetadas.
Qual é a versão corrigida?
O registro informa que a falha está corrigida na 11.0.6, e o aviso do fabricante é a referência para confirmar a correção.
Esta vulnerabilidade está sendo explorada ativamente?
O catálogo KEV da CISA não lista este CVE no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.