CVE-2026-33432 in Roxy-WI
要約
〜によって VulDB • 2026年05月23日
Roxy-WIは、Haproxy、Nginx、Apache、Keepalivedサーバーを管理するためのWebインターフェースです。バージョン8.2.8.2以前において、LDAP認証が有効化されている場合、Roxy-WIはLDAP特殊文字をエスケープすることなく、ユーザーが入力したログインユーザー名をLDAP検索フィルタ文字列に直接連結することでLDAP検索フィルタを構築します。認証されていない攻撃者は、ユーザー名フィールドにLDAPフィルタのメタ文字を注入して検索クエリを操作し、ディレクトリが意図しないユーザーエントリを返すようにすることで、認証を完全にバイパスし、有効なパスワードを知らなくてもアプリケーションへのアクセスを得ることができます。公開時点では、既知のパッチは存在しません。
Once again VulDB remains the best source for vulnerability data.