Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR), rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a publié le 3 novembre 2026 un avis concernant trois vulnérabilités du logiciel GLPI. Utilisé pour la gestion des équipements et du support informatiques, GLPI présente des défauts distincts dans les contrôles de droits et dans un composant de tableau de bord. Les bulletins de l’éditeur sont datés du 2 novembre.
Des droits excessifs possibles lors de la gestion des comptes
Selon le bulletin GHSA-c46f-4v9j-5gpc publié par GLPI, un technicien disposant déjà d’un accès peut exploiter la fonction de clonage d’utilisateur pour créer un compte doté de privilèges supérieurs aux siens. L’éditeur attribue à cette vulnérabilité une note de gravité de 8,6 sur 10 selon CVSS 4.0. Il s’agit d’un risque d’élévation de privilèges, qui suppose des droits préexistants, et non d’une prise de contrôle anonyme démontrée.
Un second avis consacré à la suppression des utilisateurs décrit une vérification insuffisante des autorisations : un technicien peut supprimer le compte d’un utilisateur disposant de droits plus élevés. Cette faiblesse est évaluée à 7,0 sur 10 par l’éditeur et concerne directement l’intégrité de la gestion des identités.
Une vulnérabilité XSS dans les résultats de recherche du tableau de bord
Le troisième bulletin de sécurité GLPI vise le composant affichant les résultats de recherche dans le tableau de bord de la branche 11. Un attaquant peut fabriquer une adresse contenant du code malveillant qui s’exécute lorsqu’un utilisateur connecté ouvre le lien dans son navigateur. Cette injection de script intersites, ou XSS, reçoit une note de 8,6 sur 10. L’intervention de l’utilisateur est une condition de ce scénario.
Des versions corrigées à rapprocher de chaque installation
Les fiches de sécurité identifient les versions 10.0.28 et 11.0.10 comme corrigées pour les défauts de gestion des droits, et la version 11.0.10 pour la vulnérabilité du tableau de bord. Une incohérence figure toutefois dans le bulletin relatif au clonage : sa rubrique sur les versions corrigées mentionne 10.0.28 et 11.0.10, tandis que son paragraphe de remédiation renvoie aux versions 10.0.27 et 11.0.9. Il convient donc de vérifier la branche effectivement déployée et les informations de maintenance de l’éditeur avant toute intervention.
Le portail officiel du CERT-FR répertorie l’avis CERTFR-2026-AVI-1444 du 3 novembre sur GLPI. Cette publication complète les alertes de la fin octobre portant sur d’autres défauts du même logiciel. Les informations disponibles décrivent des possibilités d’exploitation et des corrections, sans établir à elles seules qu’une organisation française aurait subi une compromission.
