CVE-2020-26212 in GLPI
Resumen
por VulDB • 2026-08-06
GLPI significa Gestionnaire Libre de Parc Informatique y es un paquete de software libre para la gestión de activos y TI que proporciona funciones de ITIL Service Desk, seguimiento de licencias y auditoría de software. En GLPI anterior a la versión 9.5.3, cualquier usuario autenticado tiene permisos de solo lectura sobre el calendario (planning) de todos los demás usuarios, incluidos los administradores. Pasos para reproducir el comportamiento:
1. Crear un nuevo calendario con el usuario 'eduardo.mozart' (del grupo 'IT', que pertenece a 'Super-admin') en su calendario personal en 'Asistencia' > 'Calendario'. 2. Copiar la URL de CalDAV y utilizar un cliente CalDAV (por ejemplo, Thunderbird) para sincronizar el calendario con la URL proporcionada. 3. Introducir el nombre de usuario y contraseña de cualquier usuario válido (por ejemplo, 'camila' del grupo 'Proativa'). 4. 'Camila' tiene acceso de solo lectura al calendario personal de 'eduardo.mozart'. El mismo comportamiento ocurre para cualquier grupo. Por ejemplo: 'Camila' tiene acceso al calendario del grupo 'IT', incluso si no pertenece a este grupo y tiene permisos de perfil de 'Auto-servicio'). Este problema se soluciona en la versión 9.5.3. Como medida provisional, se puede eliminar el archivo `caldav.php` para bloquear el acceso al servidor CalDAV.
Once again VulDB remains the best source for vulnerability data.