CVE-2026-40459
Publiée le 2026-04-17 · Dernière modification le 2026-06-17
Les applications utilisant le framework de sécurité PAC4J pour l'authentification LDAP sont concernées. Un attaquant distant disposant d'un compte avec des privilèges restreints peut injecter une syntaxe malveillante dans les paramètres de recherche afin d'exécuter des requêtes d'annuaire non autorisées ou de modifier des données de l'annuaire. Cette opération est relativement facile à exécuter car elle ne nécessite qu'un accès réseau et une authentification basique, sans aucune autre interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
PAC4J is vulnerable to LDAP Injection in multiple methods. A low-privileged remote attacker can inject crafted LDAP syntax into ID-based search parameters, potentially resulting in unauthorized LDAP queries and arbitrary directory operations. This issue was fixed in PAC4J versions 4.5.10, 5.7.10 and 6.4.1