BZHunt

GLPI : Blind XSS → ATO → SSTI → RCE — anatomie d'une chaîne 0-day

Fri, 03 Apr 2026 18:09:52 +0100

Note de transparence — Cette recherche a été conduite avec l’assistance de Claude Opus 4.6 (Anthropic), utilisé par BZHunt dans son processus de R&D. Toutes les vulnérabilités ont été identifiées, vérifiées et exploitées par des chercheurs humains. Nous faisons le choix de la transparence sur l’usage de l’IA dans nos travaux, dans l’attente que des standards clairs émergent sur ce sujet.

TL;DR — CVE-2026-26026 (SSTI→RCE, Critique) et CVE-2026-26027 (Blind Stored XSS, Haute) dans GLPI 11.0.0–11.0.5 permettent de chaîner une Blind Stored XSS non authentifiée avec une Server-Side Template Injection (SSTI) pour obtenir une exécution de code à distance (RCE) sans aucun compte préalable. Score CVSS : 9.1 / Critical (CVE-2026-26026). Patch : GLPI 11.0.6 (3 mars 2026).

Pentests LAN : quand les failles viennent de l'éditeur, le RSSI a des armes juridiques

Tue, 20 Jan 2026 18:09:52 +0100

TL;DR Cet article s’inscrit dans la continuité de nos travaux avec Me Marc-Antoine Ledieu sur le droit de pentester l’hébergeur du pentesté. Nous transposons ici le raisonnement juridique aux éditeurs de logiciels dont les produits, déployés dans le LAN de nos clients, introduisent des vulnérabilités structurelles.

Le constat qui revient à chaque mission

Chez BZHunt, nous réalisons des pentests d’infrastructures internes pour des entreprises de toutes tailles et de tous secteurs. Et le constat est récurrent, presque systématique : une part significative des vulnérabilités critiques que nous identifions ne provient pas d’erreurs de configuration du client, mais de défauts structurels introduits par les logiciels déployés dans son LAN.

My First Post

Sun, 14 Jan 2024 07:07:07 +0100

Introduction

This is bold text, and this is emphasized text.

Visit the Hugo website!

Admin

Mon, 01 Jan 0001 00:00:00 +0000

Contributions

Mon, 01 Jan 0001 00:00:00 +0000

From the secure side

Mon, 01 Jan 0001 00:00:00 +0000

L'équipe BZHunt

Mon, 01 Jan 0001 00:00:00 +0000

Mentions légales

Mon, 01 Jan 0001 00:00:00 +0000

1. Éditeur du site

Le site www.bzhunt.fr est édité par :

BZHUNT EXPLOITATION, Société par Actions Simplifiée (SAS)
Capital social : 8 500 euros
Siège social : 120 rue Roland Garros, 29490 Guipavas, France
SIRET : 901 598 375 00029
RCS Brest : 901 598 375
Téléphone : 02 29 02 84 38
Email : pro(at)bzhunt.fr

Directeur de la publication : M. Brice AUGRAS, Président.

2. Hébergeur

Le site est hébergé par :

Nos prestations

Mon, 01 Jan 0001 00:00:00 +0000

Parlons de votre sécurité

Mon, 01 Jan 0001 00:00:00 +0000

Politique de confidentialité

Mon, 01 Jan 0001 00:00:00 +0000

1. Objet

La présente politique de confidentialité a pour objet d’informer l’Utilisateur du traitement de ses données à caractère personnel, conformément au Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD »).

2. Champ d’application

Cette politique s’adresse à tout Utilisateur du site www.bzhunt.fr (le « Site »), édité par BZHUNT EXPLOITATION SAS (« BZHUNT »). En naviguant sur le Site, l’Utilisateur accepte la présente politique.

3. Définitions

Utilisateur : toute personne physique naviguant sur le Site.
Donnée à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable (article 4.1 RGPD).
Responsable du traitement : la personne qui détermine les finalités et les moyens du traitement (article 4.7 RGPD).
Traitement : toute opération appliquée à des données personnelles — collecte, enregistrement, conservation, consultation, communication, effacement, etc. (article 4.2 RGPD).

4. Responsable du traitement

BZHUNT EXPLOITATION, SAS au capital de 8 500 euros, dont le siège social est situé 120 rue Roland Garros, 29490 Guipavas, France (SIRET : 901 598 375 00029), agit en qualité de responsable du traitement.

Sonde NEO — Plateforme d'intervention

Mon, 01 Jan 0001 00:00:00 +0000

Transparence IA

Mon, 01 Jan 0001 00:00:00 +0000