FICHE CVE

CVE-2026-44671

Publiée le 2026-05-14 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les plateformes de gestion d'identité ZITADEL utilisant des fournisseurs LDAP sont vulnérables à l'injection de filtres via l'écran de connexion. Un attaquant non authentifié disposant d'un accès réseau peut utiliser des noms d'utilisateur spécialement conçus pour extraire systématiquement des noms d'utilisateur valides et des données d'attributs sensibles de votre annuaire LDAP connecté. Cette opération est relativement simple à exécuter car elle ne nécessite aucun identifiant préalable ni interaction de l'utilisateur.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

CWE-90

Publiée2026-05-14

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

ZITADEL is an open source identity management platform. From 2.71.11 to before 3.4.10 and 4.15.0, a vulnerability was discovered in Zitadel's LDAP identity provider implementation, which fails to properly escape user-provided usernames before incorporating them into LDAP search filters. This allows unauthenticated attackers to perform LDAP Filter Injection during the login process. While this vulnerability does not allow for a full authentication bypass, an attacker can use LDAP metacharacters (such as *, (, )) to perform blind LDAP injection. By observing the different failure (or success) responses, an attacker can systematically enumerate valid usernames and extract sensitive attribute data from the connected LDAP directory. This vulnerability is fixed in 3.4.10 and 4.15.0.