CVE-2026-113438: обход LDAP-аутентификации в Pleasanter
В Pleasanter от Implem Inc. обнаружена уязвимость обхода LDAP-аутентификации: при определённых конфигурациях злоумышленник может войти в систему, указав только логин без пароля. Проблема затрагивает инсталляции с LDAP-аутентификацией и позволяет просматривать, изменять и удалять данные с правами скомпрометированной учётной записи. Уровень опасности — средний (CVSS 6.5).
Подробности
Уязвимость проявляется при обработке специально сформированных запросов в определённых конфигурациях LDAP-аутентификации. Из-за недостаточной проверки пароля атакующий может пройти аутентификацию, указав только корректный Login ID, без пароля. Иными словами, при определённых настройках система принимает запрос на вход, не удостоверившись в подлинности предъявителя учётной записи. Успешная эксплуатация позволяет злоумышленнику получить доступ к продукту с привилегиями той учётной записи, под которой он вошёл. Это даёт возможность просматривать, изменять или удалять хранящуюся в системе информацию в рамках прав этой учётной записи. Масштаб последствий зависит от того, какими полномочиями обладает скомпрометированная учётная запись: чем шире её права, тем серьёзнее потенциальный ущерб. Отдельно стоит отметить, что уязвимость проявляется не во всех инсталляциях, а только при определённых конфигурациях LDAP-аутентификации, поэтому в первую очередь проверить настройки и версии продукта следует организациям, использующим вход через LDAP.Что делать
Рекомендуется в приоритетном порядке проверить, используется ли в вашей инсталляции Pleasanter аутентификация через LDAP. Если да — следует обратиться к информации производителя о наличии исправленных версий и обновить продукт до актуальной сборки, устраняющей уязвимость. До установки обновления целесообразно рассмотреть компенсирующие меры: ограничить сетевой доступ к интерфейсу Pleasanter, внимательно проверить конфигурацию LDAP-аутентификации и, при возможности, временно ограничить использование данного способа входа. Также рекомендуется проанализировать журналы аутентификации на предмет подозрительных входов, выполненных без корректной проверки учётных данных, и убедиться, что привилегии учётных записей соответствуют принципу минимальных прав.Итог
CVE-2026-113438 — это уязвимость обхода LDAP-аутентификации в Pleasanter, позволяющая войти в систему без пароля и действовать с правами выбранной учётной записи. Несмотря на средний уровень CVSS, последствия могут быть существенными для инсталляций с LDAP-аутентификацией и широкими правами пользователей. Ключевые шаги — проверка конфигурации, установка обновления и усиление контроля доступа.Источник: CVE Project (cvelistV5)