CVE-2023-28862 — Contournement 2FA / sessions AuthBasic : les versions antérieures à 2.16.1 ont une génération faible d’ID de session dans le handler AuthBasic et une mauvaise gestion d’échec pendant la vérification du mot de passe, ce qui peut permettre de contourner la vérification 2FA.
CVE-2020-24660 — Bypass de contrôle d’accès avec NGINX : LemonLDAP::NG jusqu’à 2.0.8 permettait de contourner des règles d’accès URL sur des Virtual Hosts protégés via des URI non normalisées quand NGINX était utilisé.
CVE-2021-40874 — RESTServer pwdConfirm : la documentation de mise à niveau mentionne CVE-2021-40874, liée à RESTServer pwdConfirm qui retourne toujours vrai.
url, redirect_uri, return_url ou équivalents liés au SAML/CDC.CVE-2023-28862 — Contournement 2FA / sessions AuthBasic : les versions antérieures à 2.16.1 ont une génération faible d’ID de session dans le handler AuthBasic et une mauvaise gestion d’échec pendant la vérification du mot de passe, ce qui peut permettre de contourner la vérification 2FA.
CVE-2020-24660 — Bypass de contrôle d’accès avec NGINX : LemonLDAP::NG jusqu’à 2.0.8 permettait de contourner des règles d’accès URL sur des Virtual Hosts protégés via des URI non normalisées quand NGINX était utilisé.
CVE-2021-40874 — RESTServer pwdConfirm : la documentation de mise à niveau mentionne CVE-2021-40874, liée à RESTServer pwdConfirm qui retourne toujours vrai.
url, redirect_uri, return_url ou équivalents liés au SAML/CDC.