LemonLDAP::NG'de Bulunan Güvenlik Açıkları: Güncel Tehditler ve Alınması Gereken Önlemler
LemonLDAP::NG'nin 2.23.0 sürümüne kadar olan versiyonlarını etkileyen, kamuya açıklanmış birden fazla güvenlik açığı tespit edildi. En kritik açık olan CVE 2026 12804 , SAML Ortak Alan Çerezi Bileşeni'ndeki hatalı URL doğrulaması nedeniyle açık yönlendirmeye (open redirect) izin veriyor ve kimlik avı saldırıları içi...
LemonLDAP::NG'nin 2.23.0 sürümüne kadar olan versiyonlarını etkileyen, kamuya açıklanmış birden fazla güvenlik açığı tespit edildi.
En kritik açık olan CVE 2026 12804 , SAML Ortak Alan Çerezi Bileşeni'ndeki hatalı URL doğrulaması nedeniyle açık yönlendirmeye (open redirect) izin veriyor ve kimlik avı saldırıları için kullanılabiliyor [8].
CVE 2023 28862 ile 2.16.1 öncesi sürümlerde, zayıf oturum kimliği üretimi ve hatala yönetimi nedeniyle iki faktörlü kimlik doğrulamanın (2FA) atlatılması mümkün [1].
CVE 2020 24660 , NGINX kullanılan yapılandırmalarda normalleştirilmemiş URI'ler aracılığıyla URL tabanlı erişim kontrollerinin atlatılmasına olanak tanıyor [2].
trouve moi des failles de securitéAI-generated editorial hero image for trouve moi des failles de securité.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: trouve moi des failles de securité. Article summary: J’ai trouvé des vulnérabilités publiquement référencées pour LemonLDAP::NG, dont une qui concerne explicitement les versions jusqu’à 2.23.0.. Topic tags: general web, ai, code, api, security. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
İşte LemonLDAP::NG için kamuya açıklanmış güvenlik açıklarının bir listesi. Özellikle 2.23.0 sürümünü etkileyen kritik bir açık bulunmaktadır. Sağlanan arşiv dosyasının içeriğini doğrudan denetleme imkanım olmadığından, liste mevcut kamuya açık kaynaklara dayanmaktadır.
İlgili Güvenlik Açıkları
CVE-2026-12804 — Açık Yönlendirme (Open Redirect): LemonLDAP::NG'nin 2.23.0 sürümüne kadar olan versiyonlarında, SAML Ortak Alan Çerezi (CDC) Bileşeni'nde (
) bir URL parametresinin hatalı doğrulanması nedeniyle açık yönlendirme zafiyeti bulunmaktadır.
Olası Etki: Saldırgan, kullanıcıları kendi kontrolündeki kötü niyetli bir web sitesine yönlendirebilir. Bu, kimlik avı (phishing) saldırıları veya güvenilen bir etki alanının atlatılması için kullanılabilir.
Öncelik: Eğer SAML/CDC kullanıyorsanız veya portalınız herkese açık ise yüksek. Satıcı, CDC'nin çok nadir kullanıldığını ve etkinin düşük olduğunu belirtse de, istismar kodu kamuya açıklanmıştır.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "LemonLDAP::NG'de Bulunan Güvenlik Açıkları: Güncel Tehditler ve Alınması Gereken Önlemler"?
LemonLDAP::NG'nin 2.23.0 sürümüne kadar olan versiyonlarını etkileyen, kamuya açıklanmış birden fazla güvenlik açığı tespit edildi.
What are the key points to validate first?
LemonLDAP::NG'nin 2.23.0 sürümüne kadar olan versiyonlarını etkileyen, kamuya açıklanmış birden fazla güvenlik açığı tespit edildi. En kritik açık olan CVE 2026 12804 , SAML Ortak Alan Çerezi Bileşeni'ndeki hatalı URL doğrulaması nedeniyle açık yönlendirmeye (open redirect) izin veriyor ve kimlik avı saldırıları için kullanılabiliyor [8].
What should I do next in practice?
CVE 2023 28862 ile 2.16.1 öncesi sürümlerde, zayıf oturum kimliği üretimi ve hatala yönetimi nedeniyle iki faktörlü kimlik doğrulamanın (2FA) atlatılması mümkün [1].
CVE-2023-28862 — 2FA / AuthBasic Oturum Atlatma: 2.16.1 öncesi sürümlerde, AuthBasic işleyicisinde zayıf oturum kimliği (ID) üretimi ve parola doğrulama sırasındaki hatalı başarısızlık yönetimi, saldırganların iki faktörlü kimlik doğrulama (2FA) kontrollerini atlamasına olanak tanır. Bu, depolama adımından sonra oturum oluşturmayı reddetmeye çalışan herhangi bir eklentinin bir AuthBasic oturumunu reddedememesi nedeniyle oluşur.
Etki: Belirli AuthBasic senaryolarında güçlü kimlik doğrulamanın atlatılması.
Öncelik: Yalnızca eski bir dağıtım kullanıyorsanız veya ilgili kod sonradan eklenmişse kritik.
CVE-2020-24660 — NGINX ile Erişim Kontrolü Atlatma: LemonLDAP::NG'nin 2.0.8 sürümüne kadar olan versiyonları, NGINX kullanıldığında, normalleştirilmemiş URI'ler göndererek korunan Sanal Sunuculardaki (Virtual Hosts) URL tabanlı erişim kontrollerinin atlatılmasına izin veriyordu.
Etki: URL kurallarına rağmen korunan kaynaklara erişim sağlanabilmesi.
Öncelik: Özellikle eski kurulumlar veya benzer NGINX yapılandırmaları için geçerlidir.
CVE-2021-40874 — RESTServer pwdConfirm: Güncelleme dokümantasyonunda bahsedilen bu açık,
RESTServer pwdConfirm
fonksiyonunun her zaman 'true' döndürmesiyle ilgilidir ve Kombinasyon + Kerberos yöntemleri kullanıldığında ortaya çıkar.
Etki: Yapılandırmaya bağlı olarak parola onayının hatalı doğrulanması riski.
Kodunuzda / Yapılandırmanızda Kontrol Etmeniz Gerekenler
Yönlendirmeleri (Redirects) Kontrol Edin: Özellikle SAML/CDC ile ilgili url, redirect_uri, return_url ve benzeri parametrelerin işlenme şeklini inceleyin.
CVE-2026-12804 için: Sıkı bir yönlendirme izin listesi (allowlist) oluşturun ve beklenmeyen harici mutlak URL'leri reddedin.
AuthBasic ve 2FA Kontrolü (CVE-2023-28862): Eğer bu özellikler etkinse, CVE-2023-28862'den etkilenen bir sürüm veya kod yolunda olmadığınızı doğrulayın.
Genel Güvenlik Önlemleri:
Yazılımınızı mümkün olan en son kararlı sürüme güncelleyin. Debian kararlı sürümü (bookworm) için güvenlik güncellemesi 2.16.1+ds-deb12u6 sürümüyle yayınlanmıştır.
Diğer açıklar için (CVE-2025-59518 (RCE) , CVE-2024-52948 (CSRF) , CVE-2024-48933 (XSS) ) ilgili güvenlik bültenlerini takip edin ve yamaları uygulayın.
Sınırlamalar
Sağlanan arşivin, yayınlanmamış yeni bir güvenlik açığı içerdiğini doğrulamak için yeterli kanıt bulunmamaktadır.
Sağlanan sonuçlarda 2.23.0 sürümüyle açıkça ilişkilendirilen tek güvenlik açığı CVE-2026-12804'tür.
