CVE-2026-53625 - PoC per l'Escalation dei Privilegi di GLPI tramite Manipolazione di authtype

📌 Panoramica

Questo repository fornisce un Proof-of-Concept (PoC) etico per CVE-2026-53625, una vulnerabilità di escalation dei privilegi di gravità Alta in GLPI che interessa tutte le versioni dalla 0.70 alla 11.0.7.

Un utente con privilegi bassi (Tecnico) può ottenere il pieno controllo di qualsiasi account, incluso Super-Admin, manipolando il campo authtype tramite l'API REST. L'attacco combina tre debolezze per ottenere la completa compromissione dell'account con creazione di una backdoor persistente.

Avviso ufficiale: GHSA-94rp-v9f2-5rj7

📝 Riepilogo della Vulnerabilità

GLPI non controlla i livelli di privilegio quando un utente aggiorna il record di un altro utente tramite l'API REST. Il campo authtype non è protetto e modificarlo in EXTERNAL porta GLPI a svuotare automaticamente la password della vittima. Combinato con un header SSO falsificabile (Remote-User), ciò consente la completa compromissione dell'account.

• ID CVE: CVE-2026-53625
• Software interessato: GLPI
• Versioni interessate: 0.70 – 11.0.7
• Corretto in: 10.0.26, 11.0.8
• Gravità: Alta — CVSS 7.5 (v4)
• Autenticazione: Richiesta (il profilo Tecnico è sufficiente)
• Impatto: Compromissione totale dell'account, backdoor persistente, blocco dell'admin (DoS)
• Vettore d'attacco: API REST + header SSO falsificabile

Come funziona

1. Autenticarsi come Tecnico tramite l'API REST (POST /apirest.php/initSession)
2. Enumerare gli utenti e identificare i target Super-Admin (GET /apirest.php/User)
3. Modificare il campo authtype della vittima in EXTERNAL (4) tramite PUT /apirest.php/User/{id} — GLPI svuota automaticamente la password (User.php:1277)
4. Falsificare un header HTTP Remote-User: {victim} per ottenere una sessione come vittima — nessuna password necessaria
5. Passare al profilo Super-Admin e creare un account backdoor persistente

Senza SSO configurato: l'attacco funziona comunque come DoS — la password della vittima viene svuotata e l'utente viene bloccato. Nessun SSO richiesto per questo impatto.

📚 Riferimenti e Crediti

• Avviso: GHSA-94rp-v9f2-5rj7
• CVE: CVE-2026-53625
• Scopritore: 7h30th3r0n3 (accreditato nell'avviso)

⚠️ Avviso Legale

Questo PoC è solo a scopo educativo e di test autorizzato. Utilizzalo solo su sistemi di tua proprietà o per cui hai esplicita autorizzazione. L'autore e i contributori non sono responsabili di un uso improprio.

📦 Installazione

Clona il repository:

git clone https://github.com/7h30th3r0n3/CVE-2026-53625-GLPI-PoC.git
cd CVE-2026-53625-GLPI-PoC

Dipendenze: bash, curl, python3, openssl

🖥️ Utilizzo (CLI)

Il PoC supporta due modalità di attacco:

# Full takeover chain (default) — requires SSO with forgeable header:
./poc_authtype_takeover.sh --auto http://glpi.local tech P@ss

# DoS only — lock out admin, no SSO needed:
./poc_authtype_takeover.sh --lockdown --auto http://glpi.local tech P@ss

# Safe mode — prove chain on sacrificial user, zero impact on real accounts:
./poc_authtype_takeover.sh --safe --verbose http://glpi.local tech P@ss

# Full takeover + restore victim afterward:
./poc_authtype_takeover.sh --backdoor --restore --restore-pass 'NewPass!' --auto http://glpi.local tech P@ss

Esegui ./poc_authtype_takeover.sh --help per tutte le opzioni.

✍️ Autore

Vulnerabilità scoperta e PoC sviluppato da 7h30th3r0n3.