CVE-2019-14666 in GLPI
Résumé
par VulDB • 03/07/2026
GLPI jusqu'à la version 9.4.3 est vulnérable à une prise de contrôle de compte (account takeover) en abusant de la fonctionnalité d'autocomplétion ajax/autocompletion.php. L'absence de validation correcte permet de récupérer le jeton généré via la fonctionnalité de réinitialisation du mot de passe, ce qui permet ainsi à un attaquant authentifié de définir n'importe quel mot de passe pour tout utilisateur. Cette vulnérabilité peut être exploitée pour prendre le contrôle d'un compte administrateur. Elle pourrait également être détournée pour obtenir d'autres champs sensibles tels que les clés API ou les hachages de mots de passe.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.