CVE-2026-49268
Apache Shiro: DefaultLdapRealm में LDAP DN इंजेक्शन
- प्रकाशित
- 17 जून 2026
- अद्यतन
- 17 जून 2026
- सीएनए असाइन करना
- apache
- साक्ष्य देखे गए
- 15 सित॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:P/AU:Y/R:A/V:X/RE:L/U:Redकम · अगले 30 दिन
- प्रतिशत
- 54.2%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
एक दूरस्थ हमलावर DefaultLdapRealm क्लास में Distinguished Name (DN) निर्माण में LDAP विशेष वर्णों को इंजेक्ट कर सकता है। उपयोगकर्ता द्वारा प्रदान किया गया username इनपुट बिना किसी RFC 2253 विशेष वर्णों के escaping के सीधे LDAP DN टेम्पलेट में जोड़ा जाता है। यह हमलावर को LDAP bind प्रमाणीकरण के लिए उपयोग की जाने वाली DN संरचना में हेरफेर करने की अनुमति देता है, जिससे संभावित रूप से प्रमाणीकरण को बायपास किया जा सकता है या अन्य उपयोगकर्ताओं का प्रतिरूपण किया जा सकता है। यह समस्या DefaultLdapRealm का उपयोग करते समय 2.2.0 तक के सभी Apache Shiro संस्करणों और 3.0.0-alpha-1 को प्रभावित करती है। इस समस्या को ठीक करने के लिए Apache Shiro 2.2.1 या 3.0.0-alpha-2 या बाद के संस्करण में अपग्रेड करें।
स्रोत
- shiroपैच
CVE-2026-49268 — एक LDAP इंजेक्शन प्रमाणीकरण बायपास भेद्यता का विश्लेषण और उपचार
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।