FICHE CVE

CVE-2026-45559

Publiée le 2026-06-10 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les interfaces web de Roxy-WI version 8.2.6.4 et antérieures sont vulnérables à l'injection LDAP via le paramètre du nom d'utilisateur. Un attaquant disposant de privilèges administratifs peut utiliser des entrées spécifiquement conçues pour collecter des attributs d'utilisateur sensibles ou énumérer des enregistrements du répertoire LDAP connecté. Cette action peut être exécutée à distance via le réseau sans interaction de l'utilisateur, bien qu'elle nécessite un compte à hauts privilèges pour être réalisée.

CVSS 3.14.9 MOYENNE

Type de faiblesse

CWE-90

Publiée2026-06-10

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisÉlevés

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

Roxy-WI is a web interface for managing Haproxy, Nginx, Apache and Keepalived servers. In versions 8.2.6.4 and prior, get_ldap_email (app/modules/roxywi/user.py:120-157) builds the LDAP search filter via f-string concatenation. The username URL path parameter is taken verbatim — no checkAjaxInput, no LDAP escape — and inserted, a username like *)(mail=*)(cn=* injects additional clauses, allowing the admin to enumerate or harvest attributes outside the intended record. At time of publication, there are no publicly available patches.