Cedric-Anne

**Nome do Software Vulnerável e Versões Afetadas** GLPI versões 11.0.0 até 11.0.6 **Descrição** Existe um problema onde um técnico pode armazenar um payload de Cross-Site Scripting (XSS) nos custos do ITIL. XSS é um tipo de falha de segurança que permite a um invasor injetar scripts maliciosos em páginas web visualizadas por outros usuários. **Recomendações** Atualizar para a versão 11.0.7.

**Nome do Software Vulnerável e Versões Afetadas** Versões do GLPI de 9.5.0 até 10.0.18 **Descrição** O GLPI é um pacote de software para Gestão de Ativos e de TI. Um técnico pode utilizar um payload malicioso para provocar uma falha de Cross-Site Scripting (XSS) armazenado no kanban do projeto. **Recomendações** Atualize para a versão 10.0.19 ou posterior.

**Name of the Vulnerable Software and Affected Versions** GLPI versions prior to 10.0.10 **Description** The issue is related to an unlimited file upload vulnerability in the GLPI system, which can be exploited by a remote attacker to upload arbitrary files to the system. This can potentially allow the deletion of some files by diverting the document upload process. The GLPI system is a free asset and IT management software package that provides ITIL Service Desk features, licenses tracking, and software auditing. **Recommendations** For versions prior to 10.0.10, upgrade to version 10.0.10 to resolve the issue. As a temporary workaround, consider restricting access to the file upload functionality until the upgrade is applied. Avoid using the file upload feature in the affected system until the issue is resolved.

**Name of the Vulnerable Software and Affected Versions** GLPI versions 0.60 through 9.5.12 GLPI versions 10.0.0 through 10.0.6 **Description** The issue is related to insufficient cleaning of user data when processing external links, allowing a user to inject and execute arbitrary HTML code and scripts in the user's browser within the context of the vulnerable website. This can enable a remote attacker to steal potentially confidential information, modify the appearance of web pages, and perform phishing and drive-by download attacks. **Recommendations** For GLPI versions 0.60 through 9.5.12, update to version 9.5.13 to resolve the issue. For GLPI versions 10.0.0 through 10.0.6, update to version 10.0.7 to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** GLPI versions 10.0.0 through 10.0.5 **Description** The issue allows unauthorized access to inventory files. If anonymous access to FAQ is allowed, inventory files become accessible by unauthenticated users. **Recommendations** For GLPI versions 10.0.0 through 10.0.5, update to version 10.0.6 to resolve the issue. As a temporary workaround, consider disabling native inventory and delete inventory files from the server, specifically from the `files/ inventory` location.

**Nome do software vulnerável e versões afetadas** Plug-in SCCM para GLPI em versões anteriores à 2.3.0 **Descrição** O plug-in SCCM para GLPI apresenta um problema em que a página de configuração fica acessível publicamente em modo somente leitura nas versões anteriores à 2.3.0. Esse problema foi corrigido na versão 2.3.0. **Recomendações** Para versões anteriores à 2.3.0, atualize para a versão 2.3.0 para resolver o problema. Como solução temporária, considere restringir o acesso à página de configuração até que a atualização seja aplicada.

**Nome do software vulnerável e versões afetadas** Versões do GLPI anteriores à 10.0.13 **Descrição** O problema está relacionado à neutralização inadequada de entradas durante a criação de páginas da web, permitindo que um invasor remoto realize um ataque de script entre sites (XSS). Um usuário com direitos para criar e compartilhar painéis pode construir um painel contendo código JavaScript, e qualquer usuário que abrir esse painel estará sujeito a um ataque XSS. **Recomendações** Para versões anteriores à 10.0.13, atualize para a versão 10.0.13 para resolver o problema. Como solução temporária, considere restringir o acesso aos recursos de criação e compartilhamento de painéis para minimizar o risco de exploração. Evite usar painéis que contenham código JavaScript até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas** Versões do plugin anteriores à 1.0.2 **Descrição** Um script público do plugin pode ser usado para ler o conteúdo de arquivos do sistema. **Recomendações** Para versões anteriores à 1.0.2, atualize para a versão 1.0.2. Como solução alternativa temporária, considere excluir o arquivo `b/deploy/index.php` se o recurso de implantação não for utilizado.