GLPI permite la ejecución de reglas en un orden no autorizado

Esta vulnerabilidad permite a un atacante, sin necesidad de privilegios administrativos, manipular el flujo de ejecución de reglas dentro de GLPI. Esto podría resultar en la modificación de configuraciones críticas, la evasión de controles de seguridad o la ejecución de acciones no autorizadas. Un atacante podría, por ejemplo, alterar las reglas de asignación de tickets para redirigir solicitudes a cuentas comprometidas o modificar las reglas de acceso a datos sensibles. El impacto potencial es significativo, especialmente en entornos donde GLPI gestiona información crítica de IT y activos.

Organizations heavily reliant on GLPI for IT asset management and service desk functionality are at significant risk. Specifically, deployments with a large number of users who do not have administrative privileges are particularly vulnerable, as these users represent the potential attack vector. Shared hosting environments where multiple users share a single GLPI instance also face increased risk.

• wordpress / composer / npm:

grep -r 'rule_execution_order' /var/www/html/glpi/

• generic web:

curl -I http://your-glpi-server/index.php?app=rules&module=rule_execution_order

1. 2025-08-27Disclosure

   disclosure

1. Reservado2025-06-25
2. Publicada2025-08-27
3. EPSS actualizado2026-03-23

La mitigación principal para CVE-2025-53105 es actualizar GLPI a la versión 10.0.19 o superior. Si la actualización no es inmediatamente posible, considere implementar controles de acceso más estrictos para limitar los privilegios de los usuarios. Revise y audite las reglas existentes en GLPI para identificar posibles configuraciones vulnerables. Si la actualización causa problemas de compatibilidad, explore la posibilidad de realizar una reversión a una versión anterior estable antes de aplicar la actualización. Después de la actualización, confirme que las reglas de GLPI funcionan como se espera y que los controles de acceso se aplican correctamente.