FICHE CVE

CVE-2026-25560

Publiée le 2026-02-07 · Dernière modification le 2026-07-14

🇫🇷 EN BREF

Les instances Wekan utilisant l'authentification LDAP avant la version 8.19 sont vulnérables à l'injection de filtres via le champ du nom d'utilisateur. Un attaquant non authentifié disposant d'un accès réseau à la page de connexion peut manipuler les requêtes LDAP pour contourner l'authentification et obtenir un accès non autorisé au système. Comme cela ne nécessite aucun privilège particulier ni interaction de l'utilisateur, l'exécution est relativement simple.

CVSS 4.08.7 ÉLEVÉE

Type de faiblesse

CWE-90

Publiée2026-02-07

Dernière modification2026-07-14

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

WeKan versions prior to 8.19 contain an LDAP filter injection vulnerability in LDAP authentication. User-supplied username input is incorporated into LDAP search filters and DN-related values without adequate escaping, allowing an attacker to manipulate LDAP queries during authentication.