Zespół programistów projektu GLPI udostępnił wersję 11.0.9. Jest to wydanie skoncentrowane na bezpieczeństwie, zalecające pilną aktualizację w celu wyeliminowania szeregu zidentyfikowanych podatności.

Kluczowe poprawki bezpieczeństwa w wersji GLPI 11.0.9 Aktualizacja usuwa podatności techniczne o wysokim i średnim priorytecie. Do najważniejszych zmian należą:

• Usunięto lukę XSS podczas importu ilustracji formularzy.
• Wyeliminowano podatności typu Stored XSS w modułach osób przypisanych do zgłoszeń (ticket actors), nazwach zasobów oraz modelach urządzeń sieciowych.
• Załatano lukę umożliwiającą obejście uwierzytelniania dwuskładnikowego (MFA bypass) przez innego użytkownika GLPI.
• Zablokowano możliwość wgrania złośliwej strony na serwer WWW.
• Wyeliminowano lukę typu SQL injection w module planowania, dostępną bez uwierzytelnienia.
• Naprawiono błąd niepoprawnego uwierzytelniania certyfikatem X509 przy niezweryfikowanych certyfikatach.
• Usunięto błąd typu race condition w marketplace, który pozwalał na instalację złośliwych wtyczek.
• Zabezpieczono system przed nieautoryzowanym usuwaniem dowolnych plików podczas tworzenia dokumentów.
• Zablokowano nieuprawniony dostęp do działań następczych, zadań i rozwiązań generowanych z szablonów.
• Naprawiono problem z nieautoryzowanym rozszerzaniem widoczności elementów Bazy Wiedzy, przypomnień oraz kanałów RSS.

Zespół GLPI dziękuje wszystkim osobom zaangażowanym w rozwój projektu oraz badaczom bezpieczeństwa za regularny wkład w poprawę jakości oprogramowania.

Pobieranie i dokumentacja Pełna lista zmian (Changelog) oraz pliki instalacyjne nowej wersji GLPI są dostępne na oficjalnym repozytorium projektu w serwisie GitHub oraz na stronie projektu.