Pleasanter CVE-2026-113438: autentificare fără parolă cu un ID valid în anumite configurații LDAP

JVN/JPCERT/CC și IPA au raportat CVE-2026-113438, o vulnerabilitate de ocolire a autentificării care afectează Pleasanter în anumite configurații LDAP. Un atacator neautentificat care poate accesa endpointul de login și cunoaște un ID de utilizator valid poate trimite o cerere special construită, obținând o sesiune fără verificarea parolei. Accesul rezultat este limitat la privilegiile utilizatorului vizat, dar poate permite vizualizarea, modificarea sau ștergerea datelor de business. Problema contează și pentru că autentificarea poate părea efectuată cu un cont legitim, ceea ce îngreunează identificarea activității suspecte doar din înregistrările de autentificare.

Sunt afectate instalările Pleasanter cu versiunile 1.1.0.0–1.5.9.0 și cu Provider setat la LDAP sau LDAP+Local în Authentication.json; în cazul LDAP+Local sunt vizați utilizatorii care se autentifică prin LDAP. Raportul menționează instalările Linux, inclusiv cele bazate pe Docker, precum și instalările Windows cu DsProvider setat la Novell; serverul LDAP trebuie să fie Active Directory sau un server OpenLDAP/389 Directory Server configurat să permită conexiuni anonime. Instalările Windows cu valoarea implicită DsProvider=null și serverele LDAP care refuză conexiunile anonime sunt indicate ca neîndeplinind condițiile vulnerabile, însă raportul avertizează că excluderea privind conexiunile anonime nu trebuie generalizată pentru Active Directory. Remedierea este inclusă în Pleasanter 1.5.9.1 sau într-o versiune ulterioară, iar versiunea 1.5.9.0 nu conține corecția.

Organizațiile ar trebui să instaleze versiunea corectată și să verifice dacă furnizorul LDAP și configurația serverului corespund condițiilor afectate; restricționarea accesului la endpointul de login poate reduce expunerea, dar nu corectează vulnerabilitatea. Administratorii pot investiga cererile neobișnuite de autentificare, pot corela rezultatele autentificării web și emiterea sesiunilor cu înregistrările LDAP disponibile și pot verifica acțiunile ulterioare asupra datelor. Raportul confirmă existența vulnerabilității, nu exploatarea acesteia în incidente reale, și recomandă contactarea furnizorului dacă actualizarea nu este momentan posibilă.