Bulletins de Sécurité

Une vulnérabilité critique de type "Injection LDAP" affectant le framework Apache Shiro a été publiée par l'Apache Software Foundation le 17 juin 2026.

Le niveau de criticité initial de cette vulnérabilité est de 9.1 (score CVSSv3.1).

Apache Shiro est un framework de sécurité Java largement déployé qui gère l'authentification, l'autorisation et la gestion de sessions pour les applications web.

CVE-2026-49268 : Une vulnérabilité dans la classe DefaultLdapRealm d'Apache Shiro permettrait à un attaquant distant non authentifié de contourner l'authentification ou d'usurper l'identité d'un utilisateur légitime. L'entrée utilisateur du champ username est directement concaténée dans le template du Distinguished Name (DN) LDAP sans échappement des caractères spéciaux. L'attaquant n'a pas besoin d'identifiants valides pour exploiter cette vulnérabilité.

Une fois la vulnérabilité exploitée, l'attaquant dispose d'un accès authentifié à l'application cible avec les droits du compte usurpé. L'exploitation de cette CVE pourrait permettre à l'attaquant d'accéder à l'ensemble des fonctionnalités de l'application, d'exfiltrer des données sensibles accessibles via le compte usurpé, et de pivoter vers d'autres ressources internes selon les droits associés.

À l'heure actuelle, aucune trace d'exploitation par des groupes d'attaquants ou d'exploit public n'a été remontée.

Étant donné le risque associé, nous préconisons de corriger cette vulnérabilité sans plus attendre pour toute application exposée sur Internet.