CVE-2026-110256
CVE-2026-110256 · Dockhand before 1.0.19 Username Enumeration via LDAP Injection in tryLdapAuth
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Finsys Dockhand through 1.0.18 contains an LDAP injection vulnerability in the tryLdapAuth function in src/lib/server/auth.ts, which inserts the login username into the LDAP search filter without escaping wildcard characters. Unauthenticated attackers can submit incremental wildcard patterns such as 'a*' to /api/auth/login and measure response timing to enumerate valid LDAP usernames while evading per-username rate limiting.
CVSS 6.3 · Средний · EPSS 0,4% · Есть исправление
- Опубликовано
- Обновлено
Затронутые продукты и версии
dockhand
- Версии
- ≥ 0, < 1.0.19: Затронуто (semver)
- 1.0.19: Не затронуто (semver)
Обновитесь до 1.0.19