GLPI में सप्लायर 'वेबसाइट' फ़ील्ड में Stored XSS है

यह XSS भेद्यता हमलावर को किसी भी उपयोगकर्ता के ब्राउज़र में मनमाना जावास्क्रिप्ट कोड निष्पादित करने की अनुमति दे सकती है जो सप्लायर फ़ील्ड को प्रदर्शित करता है। हमलावर उपयोगकर्ता के सत्र कुकीज़ को चुरा सकता है, संवेदनशील जानकारी तक पहुंच प्राप्त कर सकता है, या उपयोगकर्ता को दुर्भावनापूर्ण वेबसाइट पर पुनर्निर्देशित कर सकता है। इस भेद्यता का उपयोग फ़िशिंग हमलों को लॉन्च करने, उपयोगकर्ता खातों को हाईजैक करने या सिस्टम पर नियंत्रण हासिल करने के लिए किया जा सकता है। GLPI एक व्यापक रूप से उपयोग किया जाने वाला एसेट मैनेजमेंट सॉफ्टवेयर है, इसलिए इस भेद्यता का व्यापक प्रभाव हो सकता है।

1. आरक्षित2026-02-09
2. प्रकाशित2026-04-06
3. संशोधित2026-04-07
4. EPSS अद्यतन2026-04-14

CVE-2026-25932 को कम करने के लिए, GLPI को तुरंत संस्करण 10.0.24 या बाद के संस्करण में अपडेट करना आवश्यक है। यदि अपग्रेड संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके सप्लायर फ़ील्ड में XSS पेलोड को फ़िल्टर किया जा सकता है। इसके अतिरिक्त, इनपुट सत्यापन और आउटपुट एन्कोडिंग को लागू करके सप्लायर फ़ील्ड में उपयोगकर्ता इनपुट को सुरक्षित किया जा सकता है। नियमित सुरक्षा ऑडिट और भेद्यता स्कैनिंग भी महत्वपूर्ण हैं। अपडेट के बाद, यह सुनिश्चित करने के लिए GLPI इंस्टॉलेशन का परीक्षण करें कि भेद्यता ठीक हो गई है।