CVE-2026-110256
CVE-2026-110256 · Dockhand before 1.0.19 Username Enumeration via LDAP Injection in tryLdapAuth
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Finsys Dockhand through 1.0.18 contains an LDAP injection vulnerability in the tryLdapAuth function in src/lib/server/auth.ts, which inserts the login username into the LDAP search filter without escaping wildcard characters. Unauthenticated attackers can submit incremental wildcard patterns such as 'a*' to /api/auth/login and measure response timing to enumerate valid LDAP usernames while evading per-username rate limiting.
CVSS 6.3 · Moyenne · EPSS 0,4% · Correctif disponible
- Publication
- Mise à jour
Produits et versions concernés
dockhand
- Versions du logiciel
- ≥ 0, < 1.0.19: Concernée (semver)
- 1.0.19: Non concernée (semver)
Mettez à jour vers 1.0.19