CVE-2020-5248
Clave GLPIKEY pública puede utilizarse para descifrar cualquier dato en GLPI
- Publicado
- 12 may 2020
- Actualizado
- 4 ago 2024
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 17 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:NBajo · próximos 30 días
- Percentil
- 73,2 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
GLPI versiones anteriores a 9.4.6, presenta una vulnerabilidad que involucra una clave de cifrado predeterminada. GLPIKEY es pública y es usada en todas las instancias. Esto significa que cualquier persona puede descifrar los datos confidenciales almacenados usando esta clave. Es posible cambiar la clave antes de instalar GLPI. Pero en las instancias presentes, los datos deben ser reencriptados con la nueva clave. El problema es que no podemos saber qué columnas o filas de la base de datos están usando eso; especialmente de los plugins. Cambiar la clave sin actualizar los datos resultaría en una mala contraseña enviada desde el GLPI; pero almacenarla de nuevo desde la Interfaz de Usuario funcionará.
Fuentes
2CVE-2020-5248
Prueba de concepto (PoC) para CVE-2020-5248.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.