CVE-2026-110256
CVE-2026-110256 · Dockhand before 1.0.19 Username Enumeration via LDAP Injection in tryLdapAuth
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Finsys Dockhand through 1.0.18 contains an LDAP injection vulnerability in the tryLdapAuth function in src/lib/server/auth.ts, which inserts the login username into the LDAP search filter without escaping wildcard characters. Unauthenticated attackers can submit incremental wildcard patterns such as 'a*' to /api/auth/login and measure response timing to enumerate valid LDAP usernames while evading per-username rate limiting.
CVSS 6.3 · Mittel · EPSS 0,4% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Betroffene Produkte und Versionen
dockhand
- Softwareversionen
- ≥ 0, < 1.0.19: Betroffen (semver)
- 1.0.19: Nicht betroffen (semver)
Auf 1.0.19 aktualisieren