CVE-2025-24799
गंभीरप्रकाशित
GLPI इन्वेंट्री एंडपॉइंट के माध्यम से बिना प्रमाणीकरण के SQL इंजेक्शन की अनुमति देता है
- प्रकाशित
- 18 मार्च 2025
- अद्यतन
- 18 मार्च 2025
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
9.8/ 10गंभीर
GLPI इन्वेंट्री एंडपॉइंट के माध्यम से बिना प्रमाणीकरण के SQL इंजेक्शन की अनुमति देता है
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
GLPI एक निःशुल्क एसेट और आईटी प्रबंधन सॉफ्टवेयर पैकेज है। एक अप्रमाणित उपयोगकर्ता इन्वेंट्री एंडपॉइंट के माध्यम से SQL injection कर सकता है। यह भेद्यता 10.0.18 में ठीक कर दी गई है।
modules/auxiliary/gather/glpi_inventory_plugin_unauth_sqli.rb
http/cves/2025/CVE-2025-24799.yaml
अनधिकृत SQL इंजेक्शन एक्सप्लॉइट GLPI संस्करण 10.0.18 से पहले के लिए, जो /index.php/ajax/ एंडपॉइंट के माध्यम से डेटाबेस एन्यूमरेशन, क्रेडेंशियल निष्कर्षण और API टोकन एक्सफिल्ट्रेशन को सक्षम बनाता है।
GLPI CVE-2025-24799 भेद्यता के लिए स्कैनर
CVE-2025-24799 एक्सप्लॉइट: GLPI - बिना प्रमाणीकरण के SQL इंजेक्शन
CVE-2025-24799 SQLi स्कैनर
GLPI CVE-2025-24799 का बिना प्रमाणीकरण के time-based blind SQL injection के ज़रिए दोहन करता है, ताकि अधिकृत सुरक्षा परीक्षण हेतु glpi_users से उपयोगकर्ता नाम और पासवर्ड हैश निकाले जा सकें।
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।