一、 漏洞 CVE-2025-24799 基础信息
漏洞信息
                                        # GLPI 通过库存端点允许未认证的SQL注入

## 概述
GLPI 是一款免费的资产管理与IT管理系统软件。该系统中存在一个漏洞，允许未认证的用户通过库存端点进行 SQL 注入攻击。

## 影响版本
- 该漏洞在 GLPI 10.0.18 版本中得到修复。

## 细节
未认证的用户可以通过 GLPI 的库存端点执行 SQL 注入攻击。攻击者可以利用此漏洞访问或操作数据库内的敏感信息。

## 影响
- 隐私泄露：攻击者可能获取数据库中的敏感信息。
- 数据篡改：攻击者可能修改或删除数据库内的数据。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
GLPI allows unauthenticated SQL injection through the inventory endpoint
来源：美国国家漏洞数据库 NVD
漏洞描述信息
GLPI is a free asset and IT management software package. An unauthenticated user can perform a SQL injection through the inventory endpoint. This vulnerability is fixed in 10.0.18.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
SQL命令中使用的特殊元素转义处理不恰当(SQL注入)
来源：美国国家漏洞数据库 NVD
漏洞标题
GLPI SQL注入漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
GLPI是GLPI开源的一款开源IT和资产管理软件。该软件提供功能全面的IT资源管理接口，你可以用它来建立数据库全面管理IT的电脑，显示器，服务器，打印机，网络设备，电话，甚至硒鼓和墨盒等。 GLPI存在SQL注入漏洞，该漏洞源于库存端点SQL注入，可能导致未经授权的操作。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
SQL注入
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-24799 的公开POC
# POC 描述 源链接 神龙链接
1 None https://github.com/realcodeb0ss/CVE-2025-24799-PoC POC详情
2 None https://github.com/MuhammadWaseem29/CVE-2025-24799 POC详情
3 A pre-authentication SQL injection vulnerability exists in the Inventory feature of GLPI. The vulnerability is caused by insufficient sanitization of user input in the handleAgent function when processing XML requests. The issue occurs because SimpleXMLElement objects can bypass the dbEscapeRecursive function, allowing an attacker to inject SQL queries. This can lead to unauthorized access to sensitive information in the database, including user credentials and potential authentication bypass. https://github.com/projectdiscovery/nuclei-templates/blob/main/http/cves/2025/CVE-2025-24799.yaml POC详情
4 CVE-2025-24799 Exploit: GLPI - Unauthenticated SQL Injection https://github.com/MatheuZSecurity/Exploit-CVE-2025-24799 POC详情
三、漏洞 CVE-2025-24799 的情报信息