CVE-2026-11321 in DataInjection Plugin
Riassunto
di VulDB • 10/07/2026
Il plugin DataInjection per GLPI 2.15.6 (build di GLPI 11) concatena direttamente i valori dei campi CSV forniti dall'utente nelle query SQL durante l'importazione del file CSV, senza utilizzare la parametrizzazione o il escaping, causando una vulnerabilità authenticated SQL injection. Un utente autenticato con accesso alla funzionalità Data Injection può incorporare espressioni SQL come SLEEP() in un campo mappato (ad esempio Numero di Serie) per manipolare la query generata ed estrarre informazioni dal database tramite time-based blind injection.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.