CVE-2026-27895
CVE-2026-27895 · LAM has incorrect regular expression in PDF export component that allows user to upload files of any type
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
LDAP Account Manager (LAM) is a webfrontend for managing entries (e.g. users, groups, DHCP settings) stored in an LDAP directory. Prior to version 9.5, the PDF export component does not correctly validate uploaded file extensions. This way any file type (including .php files) can be uploaded. With GHSA-w7xq-vjr3-p9cf, an attacker can achieve remote code execution as the web server user. Version 9.5 fixes the issue. Although upgrading is recommended, a workaround would be to make /var/lib/ldap-account-manager/config read-only for the web-server user.
CVSS 4.3 · Moyenne · EPSS 0,4% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system
Produits et versions concernés
lam
- Versions du logiciel
- < 9.5: Concernée
Aucun correctif publié
ldap-account-manager Debian:13
- Versions du logiciel
- 9.0-1
- 9.5.1-1
- 9.6-1
- 9.7-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
ldap-account-manager Debian:14
- Versions du logiciel
- 9.0-1
- Plages de versions concernées
- ECOSYSTEM: < 9.5.1-1
Mettez à jour vers 9.5.1-1
ldap-account-manager Ubuntu:16.04:LTS
- Versions du logiciel
- 4.9-1
- 5.1-1
- 5.2-1
- 5.2-1ubuntu1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
ldap-account-manager Ubuntu:18.04:LTS
- Versions du logiciel
- 5.7-1
- 6.1-1
- 6.2-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
ldap-account-manager Ubuntu:20.04:LTS
- Versions du logiciel
- 6.7-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
ldap-account-manager Ubuntu:22.04:LTS
- Versions du logiciel
- 7.5-1
- 7.7-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
ldap-account-manager Ubuntu:24.04:LTS
- Versions du logiciel
- 8.3-1
- 8.5-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
ldap-account-manager Ubuntu:25.10
- Versions du logiciel
- 9.0-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
ldap-account-manager Ubuntu:26.04:LTS
- Versions du logiciel
- 9.0-1
- 9.0-1build1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié