PT-2025-6973 · Unknown+3 · Oauthimap Plugin+3

Moderatetrasher · Publicado 2025-02-12 · Atualizado 2025-08-13 · CVE-2025-23046

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:C/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do GLPI de 9.5.0 a 10.0.17

Descrição A vulnerabilidade permite acesso não autorizado ao GLPI quando um provedor de autenticação "Mail servers" é configurado para utilizar uma conexão OAuth fornecida pelo plugin OauthIMAP, aproveitando autorizações OAuth existentes.

Recomendações Para as versões de 9.5.0 a 10.0.17, atualize para a versão 10.0.18 para resolver o problema. Como medida de contorno temporária, considere desativar qualquer provedor de autenticação "Mail servers" configurado para utilizar uma conexão OAuth fornecida pelo plugin OauthIMAP.

Exploit

Correção

Improper Authentication

Enumeração de Fraquezas

CWE-287

CWE-303

Identificadores relacionados

ALT-PU-2025-10163

ALT-PU-2025-4115

BDU:2025-04582

CVE-2025-23046

GHSA-VFXC-QG3V-J2R5

Produtos afetados

Alt Linux

Glpi

Oauthimap Plugin

Red Os

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/23xxx/CVE-2025-23046.json · Exploit
• https://github.com/glpi-project/glpi/releases/tag/10.0.18 · Nota
• https://github.com/glpi-project/glpi/security/advisories/GHSA-vfxc-qg3v-j2r5 · Nota
• https://redos.red-soft.ru/support/secure · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2025-23046 · Aviso do Fabricante
• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-glpi-020425 · Nota
• https://bdu.fstec.ru/vul/2025-04582 · Nota de Segurança
• https://ubuntu.com/security/CVE-2025-23046 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2025-23046 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-23046 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-23046 · Nota de Segurança
• https://t.me/cvedetector/18905 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1894452246533796242 · Publicação no Twitter
• https://twitter.com/GLPI_PROJECT/status/1889662882909950415 · Publicação no Twitter