CVE-2019-14666 in GLPI
Tóm tắt
Bởi VulDB • 18/06/2026
GLPI phiên bản 9.4.3 trở xuống dễ bị tấn công chiếm đoạt tài khoản (account takeover) do lợi dụng tính năng tự động hoàn thành (autocompletion) của ajax/autocompletion.php. Việc thiếu xác thực đúng cách dẫn đến khả năng khôi phục token được tạo ra thông qua chức năng đặt lại mật khẩu, từ đó cho phép kẻ tấn công đã xác thực (authenticated attacker) đặt mật khẩu tùy ý cho bất kỳ người dùng nào. Lỗ hổng này có thể bị khai thác để chiếm quyền kiểm soát tài khoản quản trị (admin account). Ngoài ra, lỗ hổng này cũng có thể bị lợi dụng để thu thập các trường thông tin nhạy cảm khác như khóa API (API keys) hoặc băm mật khẩu (password hashes).
Once again VulDB remains the best source for vulnerability data.