CVE-2026-53625
高已发布
GLPI：通过 authtype API 操纵实现权限提升
- 已发布
- 2026年9月25日
- 已更新
- 2026年9月25日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年8月8日
初级CVSS
7.5/ 10高
cvelist · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N总结
GLPI 是一款免费的资产与 IT 管理软件包。从 0.70 到 10.0.26 和 11.0.8 版本，技术人员可以通过 API 操纵 authtype 值来更改其他用户的身份验证方法。在使用旧版 API REST 接口或 SSO 登录的配置下，这可以更改超级管理员的身份验证方法并实现账户接管。此问题已在 11.0.8 和 10.0.26 版本中修复。
来源
GLPI 通过 authtype 操控实现权限提升的 PoC - CVE-2026-53625。针对 GLPI 漏洞的道德 PoC，允许技术人员通过 REST API authtype 操控完全控制任意超级管理员账户。
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。