CVE-2026-113438
Publiée le 2026-10-26 · Dernière modification le 2026-10-26
Pleasanter est une plateforme de développement low-code utilisée pour créer des applications métier et gérer des données. Cette faille se trouve dans le processus d'authentification LDAP du logiciel, qui ne parvient pas à vérifier correctement les mots de passe sous certaines configurations. Un attaquant peut contourner entièrement l'écran de connexion en envoyant une requête spécifiquement formulée contenant uniquement un identifiant d'utilisateur valide.
Une exploitation réussie permet à un attaquant non authentifié de se connecter en tant que n'importe quel utilisateur connu, lui donnant la possibilité de consulter, modifier ou supprimer des données sensibles. Cela ne nécessite qu'un accès réseau au serveur, sans privilèges particuliers ni interaction de l'utilisateur. Comme l'attaque est simple et ne nécessite aucun identifiant, le risque pour la confidentialité et l'intégrité des données est significatif.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Pleasanter provided fails to properly verify passwords in LDAP authentication when processing specially crafted requests under certain configurations. If exploited, an attacker may bypass LDAP authentication by providing only a valid Login ID, without a password. As a result, an attacker may view, alter or delete information stored in the product with the privilege of the account used to log in.