trouve moi des failles de securité

J’ai trouvé des vulnérabilités publiquement référencées pour LemonLDAP::NG, dont une qui concerne explicitement les versions jusqu’à 2.23.0. Je n’ai pas pu auditer directement le contenu de l’archive jointe, donc la liste ci-dessous repose sur les avis publics disponibles.

Failles pertinentes

• CVE-2026-12804 — Open redirect : une faille d’open redirect existe dans LemonLDAP::NG jusqu’à la version 2.23.0, dans le composant SAML Common Domain Cookie Endpoint, via une mauvaise validation d’un paramètre d’URL.

  • Impact probable : redirection d’utilisateurs vers un site contrôlé par un attaquant, utile pour du phishing ou du contournement de confiance.
  • Priorité : élevée si tu utilises SAML/CDC ou si le portail est exposé publiquement.

• CVE-2023-28862 — Contournement 2FA / sessions AuthBasic : les versions antérieures à 2.16.1 ont une génération faible d’ID de session dans le handler AuthBasic et une mauvaise gestion d’échec pendant la vérification du mot de passe, ce qui peut permettre de contourner la vérification 2FA.

  • Impact : contournement d’authentification forte dans certains scénarios AuthBasic.
  • Priorité : critique seulement si ton déploiement est ancien ou si du code concerné a été réintroduit.

• CVE-2020-24660 — Bypass de contrôle d’accès avec NGINX : LemonLDAP::NG jusqu’à 2.0.8 permettait de contourner des règles d’accès URL sur des Virtual Hosts protégés via des URI non normalisées quand NGINX était utilisé.

  • Impact : accès possible à des ressources protégées malgré des règles URL.
  • Priorité : surtout pertinente pour les anciennes installations ou configurations NGINX similaires.

• CVE-2021-40874 — RESTServer pwdConfirm : la documentation de mise à niveau mentionne CVE-2021-40874, liée à

  RESTServer pwdConfirm

  qui retourne toujours vrai.
  • Impact : risque de validation incorrecte d’une confirmation de mot de passe selon la configuration.

Ce qu’il faut vérifier dans ton code/config

• Vérifie le traitement des redirections, surtout les paramètres de type url, redirect_uri, return_url ou équivalents liés au SAML/CDC.
• Pour CVE-2026-12804, mets en place une allowlist stricte des domaines de redirection et refuse les URLs absolues externes non attendues.
• Si tu utilises NGINX, vérifie la normalisation des URI avant application des règles d’autorisation.
• Si AuthBasic ou 2FA sont activés, vérifie que tu n’es pas sur une version ou un chemin de code affecté par CVE-2023-28862.

Limites

• Insufficient evidence pour affirmer que l’archive jointe contient une faille nouvelle non publiée.
• La seule faille explicitement reliée à la version 2.23.0 dans les résultats fournis est CVE-2026-12804.