FICHE CVE

CVE-2026-44616

Publiée le 2026-07-30 · Dernière modification le 2026-10-23

🇫🇷 EN BREF

Les versions 0.6.0 à 0.12.0 d'Apache Zeppelin sont vulnérables à l'injection LDAP via les points de terminaison de recherche d'utilisateurs (user-search) et de recherche de rôles (role-lookup). Un attaquant disposant d'un accès authentifié de haut niveau peut envoyer des requêtes spécialement conçues via le réseau pour contourner les filtres et exposer des informations sensibles de l'annuaire. Étant donné que cette faille nécessite des identifiants à privilèges élevés, le risque est limité aux utilisateurs internes ou aux attaquants ayant déjà compromis un compte administrateur.

CVSS 3.16.5 MOYENNE

Type de faiblesse

CWE-90

Publiée2026-07-30

Dernière modification2026-10-23

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisÉlevés

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

LDAP injection vulnerability in Apache Zeppelin. ActiveDirectoryGroupRealm constructed LDAP search filters without escaping user-controlled input, allowing an authenticated attacker to inject LDAP filter syntax through the user-search endpoint and potentially expose directory information. The role-lookup path was also affected after successful LDAP authentication. This issue affects Apache Zeppelin versions 0.6.0 through 0.12.0. Users are recommended to upgrade to version 0.12.1, which fixes this issue.