FICHE CVE

CVE-2026-39962

Publiée le 2026-04-09 · Dernière modification le 2026-06-22

🇫🇷 EN BREF

Les instances MISP configurées pour utiliser certaines variables de serveur proxy pour l'authentification LDAP sont vulnérables aux injections LDAP. Un attaquant distant non authentifié peut manipuler le processus de connexion pour contourner l'authentification ou exécuter des requêtes non autorisées, bien que cela nécessite que l'utilisateur interagisse avec un lien ou un site malveillant. Ce problème est plus susceptible de se produire dans des configurations proxy personnalisées où le paramètre `ApacheAuthenticate.apacheEnv` n'utilise pas la valeur par défaut `REMOTE_USER`.

CVSS 4.08.8 ÉLEVÉE

Type de faiblesse

CWE-90

Publiée2026-04-09

Dernière modification2026-06-22

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurActive

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Élevée

Intégrité (système subséquent)Élevée

Disponibilité (système subséquent)Élevée

RÉFÉRENCES

Description officielle du NVD (en anglais)

MISP is an open source threat intelligence and sharing platform. Prior to 2.5.36, improper neutralization of special elements in an LDAP query in ApacheAuthenticate.php allows LDAP injection via an unsanitized username value when ApacheAuthenticate.apacheEnv is configured to use a user-controlled server variable instead of REMOTE_USER (such as in certain proxy setups). An attacker able to control that value can manipulate the LDAP search filter and potentially bypass authentication constraints or cause unauthorized LDAP queries. This vulnerability is fixed in 2.5.36.