Forum GLPI-Project

ecollet

Member

Registered: 2019-07-29

Posts: 34

BUG / securité

Bonjour,

J'ai trouvé une façon très simple pour un utilisateur de récupérer tous les tokens, dont celui du super admin (!)
j'en dis plus ici ou en mp ?
les conditions (non détaillée ici ) :
avoir un accès via l'api, connexion par api_token possible.
+ paramétrage spécifique de mon profile

Je précise que via le portail web, l’utilisateur en question n'a pas accès à ces token. Ceci avec les mêmes droits / mêmes profiles.

...
Emmanuel

LaDenrée

HELPER

Registered: 2012-11-19

Posts: 6,167

Re: BUG / securité

Https://github.com/glpi-project/glpi/security/policy

Bonjour vous trouverez les consignes pour signaler discrètement les failles de sécurité dans le lien ci dessus

---

Trouver la panne avant de réparer...
GLPI10.0.10 (ubuntu 22.04 PHP8.1  Mariadb10.6 ) plugins : comportements 2.7.2 reports 1.16.0 formcreator 2.13.8, datainjection 2.13.4 fields 1.21.6

orthagh

Administrator

From: TECLIB - CAEN

Registered: 2010-11-30

Posts: 662

Website

Re: BUG / securité

Comme échangé par mail, cet faille est déjà connue et a fait l'objet d'une publication de CVE : https://github.com/glpi-project/glpi/se … -3r4w-4h55

Et GLPI 9.4.6 inclut un correctif pour celle ci