FICHE CVE

CVE-2026-44304

Publiée le 2026-05-12 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les systèmes de gestion de certificats Lemur antérieurs à la version 1.9.0 sont affectés par une faille d'injection LDAP. Un attaquant disposant d'identifiants d'utilisateur basiques peut manipuler le champ du nom d'utilisateur lors de la connexion pour contourner les vérifications de groupe et s'octroyer des privilèges d'administrateur complets. Cette action peut être exécutée à distance via le réseau sans aucune interaction supplémentaire de l'utilisateur.

CVSS 3.18.1 ÉLEVÉE

Type de faiblesse

CWE-90

Publiée2026-05-12

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

Lemur manages TLS certificate creation. Prior to 1.9.0, Lemur's LDAP authentication module (lemur/auth/ldap.py) constructs LDAP search filters using unsanitized user input via Python string interpolation. An authenticated LDAP user can inject LDAP filter metacharacters through the username field to manipulate group membership queries and escalate their privileges to administrator. This vulnerability is fixed in 1.9.0.