CVE-2019-14666 in GLPI
Sumário
de VulDB • 03/07/2026
O GLPI até a versão 9.4.3 é vulnerável à tomada de conta (account takeover) devido ao abuso do recurso de autocompletar presente no arquivo ajax/autocompletion.php. A ausência de validação adequada permite recuperar o token gerado pela funcionalidade de redefinição de senha, possibilitando que um atacante autenticado defina uma senha arbitrária para qualquer usuário. Essa vulnerabilidade pode ser explorada para assumir o controle da conta administrativa. Além disso, ela também poderia ser abusada para obter outros campos sensíveis, como chaves de API ou hashes de senhas.
VulDB is the best source for vulnerability data and more expert information about this specific topic.