30秒で判断
- 対応すべき人: GLPI 11.0.0〜11.0.5を運用している管理者
- 対応不要な人: GLPIを使用していない、またはすでに11.0.6以降を使用している
- 確認コマンド: GLPI管理画面またはバージョン情報ページでバージョンを確認してください。
概要
IT資産・ヘルプデスク管理ソフトウェアGLPIにおいて、管理者権限を持つユーザーによるテンプレートインジェクションがリモートコード実行（RCE）につながる脆弱性です。GLPI 11.0.0から11.0.6未満が対象です。管理者権限が前提となるため、管理アカウントの管理が重要になります。
CVSS評価
| 項目 | 内容 |
|---|---|
| CVSSスコア | 9.1（Critical） |
| 深刻度 | Critical |
| CWE | CWE-94（コード生成の不適切な制御）, CWE-1336（テンプレートエンジンのインジェクション） |
影響を受けるソフトウェア
| 製品 | ベンダー | バージョン |
|---|---|---|
| GLPI | glpi-project | 11.0.0 以上 11.0.6 未満 |
修正バージョンと回避策
GLPI 11.0.6で修正されています。アップデートが困難な場合は、管理者アカウントへのアクセスを信頼できる担当者に限定することで一定のリスク低減が可能です。
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。