GLPI 11.0.11 et 10.0.28 : 8 vulnérabilités corrigées, fin de support de la branche 10
📰 Contexte Source : IT-Connect (it-connect.fr), publié le 2 octobre 2026 par Florian Burnel. L’article couvre la publication par Teclib’ de nouvelles versions correctives de GLPI, logiciel open source de gestion de parc informatique et helpdesk, deux semaines après une précédente salve de correctifs. 🗓️ Chronologie des publications 30 septembre 2026 : Publication de GLPI 11.0.10 et GLPI 10.0.28 sur GitHub 1er octobre 2026 : Publication de GLPI 11.0.11 en remplacement de 11.0.10, qui introduisait une régression bloquant le chargement de certains plugins 🔐 Vulnérabilités corrigées Failles communes à GLPI 10 et GLPI 11 (5 vulnérabilités) Contournement des autorisations dans les actions en masse (importante) : contrôle défaillant permettant d’agir au-delà de ses droits Élévation de privilèges via le clonage d’utilisateurs (importante) : obtention de droits supérieurs par détournement du clonage de compte Contrôle des droits insuffisant lors de la suppression d’utilisateurs (importante) : suppression de comptes sans autorisation adéquate Énumération des noms d’utilisateurs via le planning (modérée) : récupération d’identifiants valides facilitant des attaques par brute force Contrôles d’autorisation manquants dans le planning (modérée) : second problème de droits dans la même fonctionnalité Failles propres à GLPI 11 (3 vulnérabilités) Injection SQL via la question « Acteurs » des formulaires (importante) : critères de filtrage intégrés sans contrôle à la requête SQL dans le moteur de formulaires natif de GLPI 11 Désactivation ou modification du 2FA d’utilisateurs plus privilégiés (importante) : intervention possible sur l’authentification à deux facteurs de comptes à privilèges supérieurs XSS réfléchie dans le widget de résultats de recherche du tableau de bord (importante) : exploitation via une requête piégée soumise à la victime ⚠️ Fin de support de GLPI 10 Teclib’ annonce que GLPI 10.0.28 est la dernière version de la branche 10.0, qui ne recevra plus de correctifs de sécurité à compter de la sortie prochaine de GLPI 12.0.0, prévue pour octobre 2026. Les instances restant sur GLPI 10 ne bénéficieront plus des correctifs pour les vulnérabilités découvertes dans le code commun. ...