FICHE CVE

CVE-2026-27894

Publiée le 2026-03-18 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions de LDAP Account Manager (LAM) antérieures à la version 9.5 sont affectées par une faille dans la fonctionnalité d'exportation PDF. Un utilisateur authentifié peut exploiter cette vulnérabilité pour inclure des fichiers PHP locaux, ce qui peut permettre l'exécution complète de code à distance sur le serveur. Cette attaque est relativement facile à réaliser via le réseau, à condition que l'attaquant possède déjà des identifiants de connexion valides pour l'application.

CVSS 3.18.8 ÉLEVÉE

Type de faiblesse

Inclusion de fichier PHP · CWE-98

Publiée2026-03-18

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

LDAP Account Manager (LAM) is a webfrontend for managing entries (e.g. users, groups, DHCP settings) stored in an LDAP directory. Prior to version 9.5, a local file inclusion was detected in the PDF export that allows users to include local PHP files and this way execute code. In combination with GHSA-88hf-2cjm-m9g8 this allows to execute arbitrary code. Users need to login to LAM to exploit this vulnerability. Version 9.5 fixes the issue. Although upgrading is recommended, a workaround would be to make /var/lib/ldap-account-manager/config read-only for the web-server user and delete the PDF profile files (making PDF exports impossible).