Multiple critical vulnerabilities in GLPI, including remote code execution, SQL injection, and cross-site scripting, affect GLPI versions prior to 10.0.24 and 11.0.x versions prior to 11.0.6. The vulnerabilities are tracked with CVSS scores ranging from High (7.2) to Critical (9.1). Administrators must apply the vendor's patches immediately, referencing the provided GitHub Security Advisories for specific fixes.
Premier Ministre S.G.D.S.N Agence nationale de la sécurité des systèmes d'information Paris, le 07 avril 2026 N° CERTFR-2026-AVI-0401 Affaire suivie par: CERT-FR Avis du CERT-FR Objet: Multiples vulnérabilités dans GLPI Gestion du document Référence CERTFR-2026-AVI-0401 Titre Multiples vulnérabilités dans GLPI Date de la première version 07 avril 2026 Date de la dernière version 07 avril 2026 Source(s) Bulletin de sécurité GLPI GHSA-2c98-648q-h27h du 03 avril 2026 Bulletin de sécurité GLPI GHSA-346p-qj3v-9rxj du 03 avril 2026 Bulletin de sécurité GLPI GHSA-3m49-qf92-vccr du 03 avril 2026 Bulletin de sécurité GLPI GHSA-chch-wcm9-f9cp du 03 avril 2026 Bulletin de sécurité GLPI GHSA-m627-945g-x7xh du 03 avril 2026 Une gestion de version détaillée se trouve à la fin de ce document. Risques Exécution de code arbitraire à distance Injection de code indirecte à distance (XSS) Injection SQL (SQLi) Systèmes affectés GLPI versions 11.0.x antérieures à 11.0.6 GLPI versions antérieures à 10.0.24 Résumé De multiples vulnérabilités ont été découvertes dans GLPI. Elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une injection SQL (SQLi) et une injection de code indirecte à distance (XSS). Solutions Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation). Documentation Bulletin de sécurité GLPI GHSA-2c98-648q-h27h du 03 avril 2026 https://github.com/glpi-project/glpi/security/advisories/GHSA-2c98-648q-h27h Bulletin de sécurité GLPI GHSA-346p-qj3v-9rxj du 03 avril 2026 https://github.com/glpi-project/glpi/security/advisories/GHSA-346p-qj3v-9rxj Bulletin de sécurité GLPI GHSA-3m49-qf92-vccr du 03 avril 2026 https://github.com/glpi-project/glpi/security/advisories/GHSA-3m49-qf92-vccr Bulletin de sécurité GLPI GHSA-chch-wcm9-f9cp du 03 avril 2026 https://github.com/glpi-project/glpi/security/advisories/GHSA-chch-wcm9-f9cp Bulletin de sécurité GLPI GHSA-m627-945g-x7xh du 03 avril 2026 https://github.com/glpi-project/glpi/security/advisories/GHSA-m627-945g-x7xh Référence CVE CVE-2026-25932 https://www.cve.org/CVERecord?id=CVE-2026-25932 Référence CVE CVE-2026-26026 https://www.cve.org/CVERecord?id=CVE-2026-26026 Référence CVE CVE-2026-26027 https://www.cve.org/CVERecord?id=CVE-2026-26027 Référence CVE CVE-2026-26263 https://www.cve.org/CVERecord?id=CVE-2026-26263 Référence CVE CVE-2026-29047 https://www.cve.org/CVERecord?id=CVE-2026-29047 Gestion détaillée du document le 07 avril 2026 Version initiale