FICHE CVE

CVE-2026-49268

Publiée le 2026-06-17 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les versions d'Apache Shiro allant jusqu'à 2.2.0 et 3.0.0-alpha-1 sont affectées lors de l'utilisation du `DefaultLdapRealm` pour l'authentification. Un attaquant distant non authentifié peut utiliser des noms d'utilisateur spécialement conçus pour manipuler les requêtes LDAP, lui permettant ainsi de contourner les écrans de connexion ou d'usurper l'identité d'autres utilisateurs. Cette attaque est facile à exécuter car elle ne nécessite aucun identifiant préalable ni interaction de l'utilisateur, seulement un accès réseau à l'interface de connexion.

CVSS 4.08.8 ÉLEVÉE

Type de faiblesse

CWE-90

Publiée2026-06-17

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Sécurité des personnesPrésente

AutomatisableOui

RécupérationAutomatique

Effort de réponseFaible

Urgence du fournisseurRed

RÉFÉRENCES

Description officielle du NVD (en anglais)

A remote attacker can inject LDAP special characters into the Distinguished Name (DN) construction in DefaultLdapRealm class. User-supplied username input is directly concatenated into the LDAP DN template without any escaping of RFC 2253 special characters. This allows an attacker to manipulate the DN structure used for LDAP bind authentication, potentially bypassing authentication or impersonating other users. This issue affects all Apache Shiro versions through 2.2.0, and 3.0.0-alpha-1 when using DefaultLdapRealm Upgrade to Apache Shiro 2.2.1 or 3.0.0-alpha-2 or later, which fixes the issue.