Plataforma
php
Componente
glpi-inventory-plugin
Corrigido em
1.5.1
A vulnerabilidade CVE-2025-27147 é uma falha de falta de controle de acesso presente no GLPI Inventory Plugin, um componente do sistema de gerenciamento de ativos GLPI. Essa falha permite que usuários não autorizados acessem funcionalidades críticas, como descoberta de rede e inventário, potencialmente comprometendo a segurança e a integridade dos dados. Versões do plugin anteriores à 1.5.0 são afetadas, e a correção foi implementada na versão 1.5.0.
A exploração bem-sucedida desta vulnerabilidade pode permitir que um atacante obtenha acesso não autorizado a informações sensíveis sobre a infraestrutura de rede e os ativos gerenciados pelo GLPI. Isso inclui detalhes de configuração de dispositivos, software instalado e dados de inventário. Um atacante poderia usar essas informações para planejar ataques mais direcionados, como a exploração de vulnerabilidades em dispositivos específicos ou a coleta de credenciais. O impacto potencial é significativo, especialmente em ambientes onde o GLPI é usado para gerenciar uma grande quantidade de ativos críticos. A falta de controle de acesso pode levar à divulgação de informações confidenciais, modificação de configurações e até mesmo a execução remota de código, dependendo das permissões concedidas ao usuário não autorizado.
A vulnerabilidade foi divulgada em 2025-03-25. Não há informações disponíveis sobre a adição a KEV ou a existência de um EPSS score. Atualmente, não há evidências de exploração ativa, mas a natureza da vulnerabilidade (falta de controle de acesso) a torna um alvo potencial para atacantes. A ausência de um PoC público não significa que a vulnerabilidade não possa ser explorada.
Organizations utilizing GLPI for IT asset management and specifically deploying the Inventory Plugin are at risk. This includes environments with multiple user roles and granular access controls, as the vulnerability could be exploited to escalate privileges and gain unauthorized access to sensitive inventory data. Shared hosting environments running GLPI are also particularly vulnerable, as they may have limited control over plugin updates and security configurations.
• php: Examine GLPI plugin files for insecure access control checks. Search for instances where user authentication or authorization is bypassed.
grep -r 'user_id' /path/to/glpi/plugins/inventory/ • generic web: Monitor GLPI access logs for unusual activity, such as requests to plugin endpoints from unauthorized IP addresses or user accounts.
grep "Unauthorized" /var/log/apache2/access.log | grep /plugins/inventory/ disclosure
Status do Exploit
EPSS
0.20% (percentil 41%)
CISA SSVC
Vetor CVSS
A mitigação primária para CVE-2025-27147 é a atualização imediata do GLPI Inventory Plugin para a versão 1.5.0 ou superior. Se a atualização imediata não for possível devido a problemas de compatibilidade ou tempo de inatividade, considere implementar medidas de controle de acesso adicionais para restringir o acesso às funcionalidades do plugin. Isso pode incluir a configuração de permissões mais restritivas para usuários e grupos, a implementação de autenticação de dois fatores e a revisão regular das configurações de segurança do GLPI. Monitore os logs do GLPI em busca de atividades suspeitas, como tentativas de acesso não autorizado ou modificações inesperadas nas configurações. Após a atualização, confirme a correção verificando se os usuários não autorizados não conseguem mais acessar as funcionalidades do plugin.
Actualice el plugin GLPI Inventory a la versión 1.5.0 o superior. Esta versión contiene la corrección para la vulnerabilidad de control de acceso inadecuado. La actualización se puede realizar a través del panel de administración de GLPI o descargando la nueva versión desde el sitio web oficial del plugin.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2025-27147 is a HIGH severity access control vulnerability affecting GLPI Inventory Plugin versions prior to 1.5.0, allowing unauthorized access to sensitive inventory data.
You are affected if you are using GLPI Inventory Plugin versions earlier than 1.5.0. Check your plugin version and upgrade immediately if necessary.
Upgrade the GLPI Inventory Plugin to version 1.5.0 or later to resolve this vulnerability. Implement stricter access controls within GLPI as a temporary measure.
As of the current disclosure date, there is no confirmed active exploitation, but the vulnerability's nature suggests potential for exploitation.
Refer to the official GLPI security advisories on the GLPI website for the latest information and updates regarding CVE-2025-27147.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.