GLPI 11.0.11 et 10.0.28 : 8 vulnérabilités corrigées, fin de support de la branche 10

Mon, 05 Oct 2026 00:00:00 +0200

📰 Contexte

Source : IT-Connect (it-connect.fr), publié le 2 octobre 2026 par Florian Burnel. L’article couvre la publication par Teclib’ de nouvelles versions correctives de GLPI, logiciel open source de gestion de parc informatique et helpdesk, deux semaines après une précédente salve de correctifs.

🗓️ Chronologie des publications

30 septembre 2026 : Publication de GLPI 11.0.10 et GLPI 10.0.28 sur GitHub
1er octobre 2026 : Publication de GLPI 11.0.11 en remplacement de 11.0.10, qui introduisait une régression bloquant le chargement de certains plugins

🔐 Vulnérabilités corrigées

Failles communes à GLPI 10 et GLPI 11 (5 vulnérabilités)

Contournement des autorisations dans les actions en masse (importante) : contrôle défaillant permettant d’agir au-delà de ses droits
Élévation de privilèges via le clonage d’utilisateurs (importante) : obtention de droits supérieurs par détournement du clonage de compte
Contrôle des droits insuffisant lors de la suppression d’utilisateurs (importante) : suppression de comptes sans autorisation adéquate
Énumération des noms d’utilisateurs via le planning (modérée) : récupération d’identifiants valides facilitant des attaques par brute force
Contrôles d’autorisation manquants dans le planning (modérée) : second problème de droits dans la même fonctionnalité

Failles propres à GLPI 11 (3 vulnérabilités)

Injection SQL via la question « Acteurs » des formulaires (importante) : critères de filtrage intégrés sans contrôle à la requête SQL dans le moteur de formulaires natif de GLPI 11
Désactivation ou modification du 2FA d’utilisateurs plus privilégiés (importante) : intervention possible sur l’authentification à deux facteurs de comptes à privilèges supérieurs
XSS réfléchie dans le widget de résultats de recherche du tableau de bord (importante) : exploitation via une requête piégée soumise à la victime

⚠️ Fin de support de GLPI 10

Teclib’ annonce que GLPI 10.0.28 est la dernière version de la branche 10.0, qui ne recevra plus de correctifs de sécurité à compter de la sortie prochaine de GLPI 12.0.0, prévue pour octobre 2026. Les instances restant sur GLPI 10 ne bénéficieront plus des correctifs pour les vulnérabilités découvertes dans le code commun.