FICHE CVE

CVE-2026-0636

Publiée le 2026-04-15 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les applications Java utilisant les versions 1.74 à 1.84 de la bibliothèque de cryptographie Bouncy Castle (`bcprov`) sont concernées. Un attaquant peut utiliser l'injection LDAP pour manipuler des requêtes, ce qui pourrait lui permettre de lire des données sensibles provenant de l'annuaire LDAP connecté. Cette action peut être déclenchée via le réseau sans interaction de l'utilisateur, bien qu'elle nécessite généralement que l'attaquant dispose d'identifiants d'authentification valides.

CVSS 4.05.5 MOYENNE

Type de faiblesse

CWE-90

Publiée2026-04-15

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Maturité de l'exploitPreuve de concept

Sécurité des personnesNégligeable

AutomatisableOui

RécupérationAutomatique

Effort de réponseModéré

Urgence du fournisseurAmber

RÉFÉRENCES

Description officielle du NVD (en anglais)

Improper neutralization of special elements used in an LDAP query ('LDAP injection') vulnerability in Legion of the Bouncy Castle Inc. BC-JAVA bcprov on all (prov modules). This vulnerability is associated with program files LDAPStoreHelper. This issue affects BC-JAVA: from 1.74 before 1.80.2, from 1.81 before 1.81.1, from 1.82 before 1.84.