CVE-2026-110256
Publiée le 2026-10-13 · Dernière modification le 2026-10-26
Finsys Dockhand (version 1.0.18 et versions antérieures) est affecté par une faille dans sa gestion des connexions LDAP. Un attaquant non authentifié disposant d'un accès réseau peut utiliser des caractères génériques spéciaux dans le champ de connexion pour deviner et lister des noms d'utilisateur valides en mesurant le temps de réponse du serveur. Ce processus est relativement facile à automatiser et contourne les limitations de débit standards.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Finsys Dockhand through 1.0.18 contains an LDAP injection vulnerability in the tryLdapAuth function in src/lib/server/auth.ts, which inserts the login username into the LDAP search filter without escaping wildcard characters. Unauthenticated attackers can submit incremental wildcard patterns such as 'a*' to /api/auth/login and measure response timing to enumerate valid LDAP usernames while evading per-username rate limiting.