Plataforma
php
Componente
glpi
Corregido en
0.84.1
La vulnerabilidad CVE-2025-52567 es una falla de Server-Side Request Forgery (SSRF) presente en GLPI, un software de gestión de activos e IT. Esta falla permite a un atacante realizar solicitudes a recursos internos, potencialmente exponiendo información sensible. Afecta a las versiones de GLPI desde 0.84 hasta la 10.0.18, siendo corregida en la versión 10.0.19.
Un atacante que explote esta vulnerabilidad podría utilizar GLPI como un punto de pivote para acceder a recursos internos que no están directamente expuestos a Internet. Esto podría incluir la lectura de archivos de configuración, la interacción con servicios internos o incluso el acceso a bases de datos. El impacto potencial varía según la configuración de la red y los permisos del usuario GLPI, pero podría resultar en la exposición de información confidencial o la toma de control de sistemas internos. La falla persiste a pesar de parches previos, indicando una complejidad en la mitigación.
La vulnerabilidad fue publicada el 30 de julio de 2025. No se ha reportado explotación activa a la fecha. La evaluación de CVSS es LOW, lo que sugiere una probabilidad de explotación relativamente baja, aunque el impacto potencial puede ser significativo si se explota con éxito. Se recomienda monitorear las fuentes de inteligencia de amenazas para detectar cualquier actividad sospechosa.
Organizations heavily reliant on GLPI for asset and IT management, particularly those with complex internal networks and extensive use of RSS feeds or external calendar integrations for planning, are at increased risk. Shared hosting environments running GLPI are also vulnerable, as the attacker could potentially exploit the vulnerability through a compromised GLPI instance.
• php / server:
find /var/www/html/glpi -name 'index.php' -exec grep -i 'fetch_url' {} + | grep -i 'rss'• generic web:
curl -I https://your-glpi-server/index.php?rss_url=http://internal-resource.local• generic web:
curl -I https://your-glpi-server/app/planning/external_calendar.php?url=http://internal-resource.localdisclosure
Estado del Exploit
EPSS
0.03% (8% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para CVE-2025-52567 es actualizar GLPI a la versión 10.0.19 o superior. Si la actualización inmediata no es posible, se recomienda deshabilitar temporalmente la funcionalidad de planificación que utiliza RSS feeds o calendarios externos. Implementar reglas de firewall para restringir el acceso a recursos internos desde GLPI también puede ayudar a reducir el riesgo. Monitorear los logs de GLPI en busca de solicitudes inusuales a recursos internos es crucial.
Actualice GLPI a la versión 10.0.19 o superior. Esta versión contiene la corrección para la vulnerabilidad SSRF. Se recomienda realizar una copia de seguridad antes de actualizar.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2025-52567 is a Server-Side Request Forgery vulnerability affecting GLPI versions 0.84 through 10.0.18, allowing attackers to potentially trigger requests to internal resources.
You are affected if you are running GLPI versions 0.84 to 10.0.18 and utilize RSS feeds or external calendars for planning.
Upgrade GLPI to version 10.0.19 or later. As a temporary workaround, disable RSS feed and external calendar integrations.
There are currently no confirmed reports of active exploitation, but the vulnerability remains a potential risk.
Refer to the official GLPI security advisory for detailed information and updates: [https://glpi.net/security](https://glpi.net/security)
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.