Vulnerabilità di sicurezza trovate in LemonLDAP::NG
Sono state identificate diverse vulnerabilità pubbliche per LemonLDAP::NG, inclusa una che riguarda esplicitamente le versioni fino alla 2.23.0. L'analisi si basa esclusivamente su avvisi pubblici e non ha potuto esaminare direttamente il contenuto di archivi specifici.
Sono state identificate diverse vulnerabilità pubbliche per LemonLDAP::NG, inclusa una che riguarda esplicitamente le versioni fino alla 2.23.0.
L'analisi si basa esclusivamente su avvisi pubblici e non ha potuto esaminare direttamente il contenuto di archivi specifici.
CVE 2026 12804: una falla di open redirect nel componente SAML Common Domain Cookie Endpoint, che consente il reindirizzo verso siti esterni malevoli [8].
CVE 2023 28862: bypass della verifica 2FA nelle versioni precedenti alla 2.16.1, sfruttando una generazione debole di ID di sessione [1].
trouve moi des failles de securitéAI-generated editorial hero image for trouve moi des failles de securité.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: trouve moi des failles de securité. Article summary: J’ai trouvé des vulnérabilités publiquement référencées pour LemonLDAP::NG, dont une qui concerne explicitement les versions jusqu’à 2.23.0.. Topic tags: general web, ai, code, api, security. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Ecco un'analisi delle vulnerabilità di sicurezza pubblicamente note per LemonLDAP::NG, un software open source per il Single Sign-On e la gestione delle identità. L'elenco si basa sugli avvisi di sicurezza disponibili pubblicamente e non include l'audit diretto di un archivio specifico.
Falle di sicurezza più rilevanti
CVE-2026-12804 — Open redirect: esiste una vulnerabilità di open redirect in LemonLDAP::NG fino alla versione 2.23.0. La falla risiede nel componente SAML Common Domain Cookie Endpoint (
) a causa di una convalida non corretta del parametro URL. Un attaccante non autenticato può creare un URL malevolo che reindirizza gli utenti verso siti esterni arbitrari, utile per attacchi di phishing. Il vendor conferma che la correzione sarà disponibile nella versione 2.23.1, ma sottolinea che il componente CDC è usato raramente, riducendo l'impatto .
Impatto: alto se utilizzi il componente SAML/CDC o se il portale è esposto pubblicamente.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Vulnerabilità di sicurezza trovate in LemonLDAP::NG"?
Sono state identificate diverse vulnerabilità pubbliche per LemonLDAP::NG, inclusa una che riguarda esplicitamente le versioni fino alla 2.23.0.
What are the key points to validate first?
Sono state identificate diverse vulnerabilità pubbliche per LemonLDAP::NG, inclusa una che riguarda esplicitamente le versioni fino alla 2.23.0. L'analisi si basa esclusivamente su avvisi pubblici e non ha potuto esaminare direttamente il contenuto di archivi specifici.
What should I do next in practice?
CVE 2026 12804: una falla di open redirect nel componente SAML Common Domain Cookie Endpoint, che consente il reindirizzo verso siti esterni malevoli [8].
CVE-2023-28862 — Bypass 2FA / sessioni AuthBasic: nelle versioni precedenti alla 2.16.1, la generazione debole degli ID di sessione nel gestore AuthBasic e una gestione errata degli errori durante la verifica della password consentono di aggirare la protezione 2FA. Qualsiasi plugin che tenti di negare la creazione di una sessione dopo la fase di salvataggio non riesce a bloccare una sessione AuthBasic.
Impatto: bypass dell'autenticazione forte in scenari specifici che utilizzano AuthBasic.
Priorità: critica solo se il tuo deployment è su una versione precedente o se il codice interessato è stato reintrodotto.
CVE-2020-24660 — Bypass controllo accessi con NGINX: LemonLDAP::NG fino alla 2.0.8, quando utilizzato con NGINX, permetteva di aggirare le regole di controllo accesso basate sugli URL sui Virtual Host protetti, sfruttando URI non normalizzati.
Impatto: accesso non autorizzato a risorse protette.
Priorità: rilevante per installazioni datate o configurazioni NGINX simili.
CVE-2021-40874 — RESTServer pwdConfirm: la documentazione di aggiornamento menziona questa vulnerabilità, legata al fatto che
RESTServer pwdConfirm
restituisce sempre vero in alcune configurazioni, ad esempio con Combination + Kerberos.
Impatto: rischio di convalida errata della conferma password.
Altre vulnerabilità note
Oltre alle falle sopra elencate, sono state identificate altre vulnerabilità, tra cui:
CVE-2025-59518: iniezione di comandi nel Safe jail di LemonLDAP::NG, che consente a un amministratore autenticato di eseguire comandi arbitrari sul sistema .
CVE-2025-31510: cross-site scripting (XSS) nel portale .
CVE-2024-52947: cross-site scripting (XSS) nel plugin "Upgrade" .
CVE-2024-52948: CSRF nella registrazione 2FA .
CVE-2024-48933: XSS nella pagina di login tramite username, se userControl è configurato in modo non predefinito .
CVE-2024-52946: miglioramento del livello di autenticazione dopo un refresh di sessione non corretto .
CVE-2023-44469: Server-Side Request Forgery (SSRF) nel protocollo OIDC .
CVE-2019-19791: falla di sicurezza nei pacchetti Debian per versioni precedenti .
Cosa verificare nel tuo codice/configurazione
Controlla la gestione dei reindirizzamenti, in particolare i parametri come url, redirect_uri, return_url o equivalenti legati a SAML/CDC .
Per CVE-2026-12804, implementa una whitelist rigorosa dei domini di reindirizzamento e rifiuta URL esterni assoluti non attesi .
Se usi NGINX, verifica la normalizzazione degli URI prima dell'applicazione delle regole di autorizzazione .
Se AuthBasic o 2FA sono attivi, controlla di non essere su una versione o un percorso di codice affetto da CVE-2023-28862 .
Aggiorna alla versione più recente disponibile per applicare le correzioni di sicurezza.
Limiti
Le prove non sono sufficienti per affermare che un archivio specifico contenga una falla nuova non pubblicata.
L'unica falla esplicitamente collegata alla versione 2.23.0 è CVE-2026-12804.
