GLPI ispravio propust koji je omogućavao preskakanje drugog koraka prijave
U verzijama GLPI od 11.0.0 do 11.0.7 posebno oblikovana adresa omogućavala je korisniku da tokom prijave preskoči proveru jednokratnog koda. Ispravka je uključena u verziju 11.0.8.
Šta se desilo?
Tim projekta GLPI objavio je bezbednosno obaveštenje za CVE-2026-52848. Propust se javlja tokom prijave na platformu za upravljanje IT opremom i zahtevima za podršku.
Koga pogađa?
Izložene su instalacije iz grane 11 počev od 11.0.0, zaključno sa 11.0.7. Rizik se odnosi na naloge za koje je uključen drugi faktor.
Kako se zaštititi?
- Ažurirajte GLPI na podržano izdanje koje sadrži ispravku iz 11.0.8.
- Posle ažuriranja proverite verziju i na test nalogu potvrdite da prijava zahteva jednokratni kod.
- Pregledajte prijave i naknadne izmene sa naloga koji imaju administratorska prava.
Tehnički detalji
Korisnik je posebno oblikovanom URL adresom mogao da preskoči proveru jednokratnog koda. Projektni tim opisuje zaobilaženje drugog faktora. Mogućnost pristupa proizvoljnom nalogu bez lozinke ostaje nepotvrđena. Ocena proizvođača je 9,2 po CVSS 4.0.
Zašto je važno?
Drugi faktor treba da zaštiti nalog i kada neko pribavi njegovu lozinku. Preskakanje tog koraka izlaže podatke i funkcije kojima konkretan nalog ima pristup.
Preporuka Sajber Radara
Prvo proverite verziju instalacija kojima se pristupa sa interneta. Zadržite uključenu dvofaktorsku autentifikaciju i proverite da li je ispravka primenjena na svim instancama.