GRRにPHPコード注入の脆弱性、4.5.0で修正
Summary
予約管理アプリGRRのLDAP連携設定に、管理者の入力がPHPコードとして実行される脆弱性が見つかりました。4.5.0より前のGRRを社内や学校で運用している組織が対象で、4.5.0への更新と、管理者アカウントの見直しが必要です。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
予約管理アプリGRRのLDAP連携設定に、管理者の入力がPHPコードとして実行される脆弱性が見つかりました。4.5.0より前のGRRを社内や学校で運用している組織が対象で、4.5.0への更新と、管理者アカウントの見直しが必要です。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| JeromeDevome | GRR | — | — |
Original description The description as published by the source.
GRR is a resource management and reservation application. Prior to the advisory-reported fixed version 4.5.0, an administrator can inject malicious PHP through LDAP connector configuration parameters such as ldap_filter, poisoning /personnalisation/config_ldap.inc.php and permitting remote code execution. The administrator must first successfully connect to an LDAP server, which can be attacker-controlled, and then submit malicious input on the subsequent connector settings page. The advisory reports this issue as fixed in version 4.5.0.
Source: CVE.org (CVE Program・cvelistV5) NVD