FICHE CVE

CVE-2026-24130

Publiée le 2026-01-22 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les serveurs web Moonraker (version 0.9.3 et antérieures) utilisant l'authentification LDAP sont vulnérables à l'injection de filtres de recherche au niveau du point de terminaison de connexion. Un attaquant non authentifié disposant d'un accès réseau peut utiliser les réponses d'erreur du serveur pour découvrir par force brute des détails LDAP internes, tels que des identifiants d'utilisateurs et des attributs valides. Il s'agit d'un exploit à faible impact qui ne nécessite aucun privilège spécial ni interaction de l'utilisateur pour être exécuté.

CVSS 4.02.7 FAIBLE

Type de faiblesse

CWE-90 CWE-209

Publiée2026-01-22

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Maturité de l'exploitNon signalée

RÉFÉRENCES

Description officielle du NVD (en anglais)

Moonraker is a Python web server providing API access to Klipper 3D printing firmware. In versions 0.9.3 and below, instances configured with the "ldap" component enabled are vulnerable to LDAP search filter injection techniques via the login endpoint. The 401 error response message can be used to determine whether or not a search was successful, allowing for brute force methods to discover LDAP entries on the server such as user IDs and user attributes. This issue has been fixed in version 0.10.0.