CVE-2023-29050
Publiée le 2024-01-08 · Dernière modification le 2026-06-17
Les systèmes utilisant le fournisseur de contacts LDAP optionnel sont concernés. Un utilisateur privilégié disposant d'un accès réseau peut injecter des chaînes de filtrage malveillantes pour lire des informations confidentielles de l'annuaire auxquelles il ne devrait pas avoir accès, ou potentiellement provoquer le plantage du serveur d'annuaire. Cela nécessite une authentification de haut niveau, mais aucune interaction de l'utilisateur pour être exécuté.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The optional "LDAP contacts provider" could be abused by privileged users to inject LDAP filter strings that allow to access content outside of the intended hierarchy. Unauthorized users could break confidentiality of information in the directory and potentially cause high load on the directory server, leading to denial of service. Encoding has been added for user-provided fragments that are used when constructing the LDAP query. No publicly available exploits are known.