CVE-2026-53626
高已发布
GLPI：通过表单上下文授权绕过实现任意文档读取
- 已发布
- 2026年9月25日
- 已更新
- 2026年9月25日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年8月29日
初级CVSS
7.1/ 10高
cvelist · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N总结
GLPI 是一款免费的资产与 IT 管理软件包。从 11.0.5 到 11.0.8 版本，在某些条件下，权限逻辑可能会在未确认文档是否与目标项目关联的情况下授予对文档的访问权限。用户可以利用其有权查看的无关项目，读取与无权访问项目关联的文档。此问题已在 11.0.8 版本中修复。
来源
我报告的 CVE 的 PoC 与 write-ups（协同披露；仅已发布及已修复）
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。