GLPI Vulnerabilities: SQL Injection, Security Bypass
Summary
CERT-FR has issued a security advisory regarding multiple vulnerabilities in GLPI software, versions prior to 11.0.6. These vulnerabilities include SQL injection and security bypass, potentially allowing attackers to compromise systems. Users are advised to consult the publisher's security bulletins for patch information.
What changed
CERT-FR, the French national cybersecurity agency, has published an advisory (CERTFR-2026-AVI-0312) detailing multiple critical vulnerabilities discovered in GLPI software, specifically affecting versions 11.0.x prior to 11.0.6. The identified risks include security policy bypass and SQL injection (SQLi), which could allow unauthorized attackers to gain access and manipulate data.
Organizations utilizing affected GLPI versions must consult the official GLPI security bulletins (GHSA-2g3p-vwp2-7qxm and GHSA-qw3x-7vv2-7759) and apply the necessary patches or updates provided by the vendor to mitigate these risks. Failure to do so could result in significant data breaches and system compromise.
What to do next
- Review GLPI software version and identify if affected by vulnerabilities CVE-2026-25936 and CVE-2026-25937.
- Consult GLPI security bulletins GHSA-2g3p-vwp2-7qxm and GHSA-qw3x-7vv2-7759.
- Apply vendor-provided patches or updates to GLPI versions 11.0.x to mitigate identified risks.
Source document (simplified)
Premier Ministre S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 18 mars 2026 N° CERTFR-2026-AVI-0312 Affaire suivie par: CERT-FR
Avis du CERT-FR
Objet: Multiples vulnérabilités dans GLPI
Gestion du document
| Référence | CERTFR-2026-AVI-0312 |
| Titre | Multiples vulnérabilités dans GLPI |
| Date de la première version | 18 mars 2026 |
| Date de la dernière version | 18 mars 2026 |
| Source(s) | Bulletin de sécurité GLPI GHSA-2g3p-vwp2-7qxm du 17 mars 2026
Bulletin de sécurité GLPI GHSA-qw3x-7vv2-7759 du 17 mars 2026 |
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Contournement de la politique de sécurité
- Injection SQL (SQLi)
Systèmes affectés
- glpi versions 11.0.x antérieures à 11.0.6
Résumé
De multiples vulnérabilités ont été découvertes dans GLPI. Elles permettent à un attaquant de provoquer une injection SQL (SQLi) et un contournement de la politique de sécurité.
Solutions
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Bulletin de sécurité GLPI GHSA-2g3p-vwp2-7qxm du 17 mars 2026
- https://github.com/glpi-project/glpi/security/advisories/GHSA-2g3p-vwp2-7qxm
- Bulletin de sécurité GLPI GHSA-qw3x-7vv2-7759 du 17 mars 2026
- https://github.com/glpi-project/glpi/security/advisories/GHSA-qw3x-7vv2-7759
- Référence CVE CVE-2026-25936
- https://www.cve.org/CVERecord?id=CVE-2026-25936
- Référence CVE CVE-2026-25937
- https://www.cve.org/CVERecord?id=CVE-2026-25937
Gestion détaillée du document
- le 18 mars 2026 Version initiale
Related changes
Source
Classification
Who this affects
Taxonomy
Browse Categories
Get Data Privacy & Cybersecurity alerts
Weekly digest. AI-summarized, no noise.
Free. Unsubscribe anytime.
Get alerts for this source
We'll email you when CERT-FR Security Advisories publishes new changes.