PT-2026-56824 · Glpi · Tag Plugin

Chapochapo · Publicado 2026-07-09 · Atualizado 2026-07-09 · CVE-2026-53987

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.3

Alta

Vetor base

AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Tag plugin for GLPI 11 versões anteriores a 2.14.4

Description Ocorre cross-site scripting armazenado porque o software armazena nomes de tags sem sanitização HTML e os renderiza na marcação do badge Kanban através da função preKanbanContent() sem a devida codificação de saída. Um usuário autenticado com direitos de criação ou atualização de TAG MANAGEMENT pode definir um nome de tag contendo HTML, que será executado no navegador de qualquer usuário que abrir a visualização Kanban de um ticket, problema, mudança ou projeto ao qual a tag esteja vinculada.

Recommendations Atualize o Tag plugin for GLPI 11 para a versão 2.14.4 ou posterior.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-53987

Produtos afetados

Tag Plugin

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/53xxx/CVE-2026-53987.json · Exploit
• https://github.com/pluginsGLPI/tag/security/advisories/GHSA-6rpj-89c7-x2mh · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-53987 · Nota de Segurança
• https://github.com/pluginsGLPI/tag/releases/tag/2.14.4 · Correção
• https://github.com/pluginsGLPI/tag · Nota
• https://osv.dev/vulnerability/CVE-2026-53987 · Aviso do Fabricante
• https://github.com/pluginsGLPI/tag/commit/49e6b6eb5f83bcd84139a5e5ec54c0ddd14acc90 · Correção