FICHE CVE

CVE-2026-11748

Publiée le 2026-06-22 · Dernière modification le 2026-10-25

🇫🇷 EN BREF

Les serveurs Central Dogma utilisant des versions de `centraldogma-server-auth-shiro` antérieures à la version 0.84.0 sont concernés. Un attaquant non authentifié peut envoyer des noms d'utilisateur spécialement conçus pour contourner la logique d'authentification ou cartographier la structure de votre Active Directory. Cela peut être réalisé à distance via le réseau, sans accès préalable ni interaction de l'utilisateur.

CVSS 4.06.9 MOYENNE

Type de faiblesse

CWE-90

Publiée2026-06-22

Dernière modification2026-10-25

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Faible

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

A vulnerability has been identified in centraldogma-server-auth-shiro versions prior to 0.84.0, where the SearchFirstActiveDirectoryRealm substitutes the login username into an LDAP search filter without neutralizing LDAP filter metacharacters, allowing an unauthenticated attacker to manipulate the filter to cause authentication confusion and enumerate the directory structure.