FICHE CVE

CVE-2026-21880

Publiée le 2026-01-08 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions 1.2.48 et antérieures du logiciel de gestion de projet Kanboard sont vulnérables à une faille d'injection LDAP. Un attaquant non authentifié disposant d'un accès réseau peut envoyer des requêtes spécialement conçues à la page de connexion pour extraire la liste de tous les utilisateurs LDAP ainsi que les attributs sensibles de leurs comptes. Comme cela ne nécessite aucune interaction de l'utilisateur ni d'identifiants préalables, l'exécution de cette attaque est relativement simple.

CVSS 3.15.3 MOYENNE

Type de faiblesse

CWE-90 Exposition d'informations · CWE-200

Publiée2026-01-08

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéFaible

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

Kanboard is project management software focused on Kanban methodology. Versions 1.2.48 and below have an LDAP Injection vulnerability in the LDAP authentication mechanism. User-supplied input is directly substituted into LDAP search filters without proper sanitization, allowing attackers to enumerate all LDAP users, discover sensitive user attributes, and perform targeted attacks against specific accounts. This issue is fixed in version 1.2.49.