CVE-2025-13948

ŚrednieCVSS 5.6

Opublikowano: 03/12/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 18/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

Wykryto podatność w opsre go-ldap-admin do wersji 20251011. Dotyczy nieznanego przetwarzania w pliku docs/docker-compose/docker-compose.yaml w komponencie JWT Handler. Manipulacja argumentem secret key prowadzi do użycia zakodowanego na stałe klucza kryptograficznego. Atak może być przeprowadzony zdalnie, ale jest bardzo złożony i trudny do wykorzystania. Exploit został publicznie ujawniony.

Ocena ryzyka

Użycie zakodowanego na stałe klucza kryptograficznego może umożliwić atakującemu podrobienie tokenów JWT, co prowadzi do nieautoryzowanego dostępu. Ze względu na wysoką złożoność ataku ryzyko jest ograniczone, ale exploit jest publicznie dostępny.

Rekomendacja

Zmień zakodowany na stałe klucz w pliku docker-compose.yaml na losowy i bezpiecznie przechowywany sekret. Zaktualizuj go-ldap-admin do najnowszej wersji i monitoruj próby wykorzystania.

Inne podatności w go-ldap-admin

CVE-2026-111347Średnie
go-ldap-admin do wersji 0.6.2 zawiera wbudowany na stałe prywatny klucz RSA, opublikowany w publicznym repozytorium, który chroni zaszyfrowane hasła logowania. Nieuwierzytelnieni atakujący, którzy przechwycą zaszyfrowane hasła, mogą je odszyfrować offline lub przez punkt końcowy /base/decryptpwd, odzyskując jawne poświadczenia LDAP do ponownego użycia.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was determined in opsre go-ldap-admin up to 20251011. This issue affects some unknown processing of the file docs/docker-compose/docker-compose.yaml of the component JWT Handler. Executing manipulation of the argument secret key can lead to use of hard-coded cryptographic key . The attack can be launched remotely. Attacks of this nature are highly complex. The exploitability is assessed as difficult. The exploit has been publicly disclosed and may be utilized.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS