Pleasanter: обход пароля через LDAP — что делать, если у вас такая настройка

Смотрел, что нового у вендоров, и увидел анонс уязвимости в Pleasanter — CVE-2026-113438. Речь о возможном обходе пароля при входе через LDAP, если настроена определённая конфигурация. Всё, что нужно — знать валидный ID пользователя и отправить специально сформированный запрос на вход. Уязвимость затрагивает версии с 1.1.0.0 по 1.5.9.0, если используется LDAP или LDAP+Local, работает на Linux (включая Docker) или Windows с Novell DsProvider, и подключённый сервер LDAP позволяет анонимные подключения — например, Active Directory или OpenLDAP с отключённой проверкой. В таком случае атакующий мож

Считаю, что это не просто «возможность» — это точка входа, которую боты искать будут. Даже если сейчас никто не атакует, наличие такой дыры — это риск, который нельзя игнорировать. Особенно если у клиента в настройках LDAP включён анонимный доступ. Это не про «случайный взлом» — это про системный просчёт в конфигурации, который может быть использован массово.

На мой взгляд, важнее не то, что уязвимость не подтверждена в реальном мире, а то, что она включает в себя обход проверки пароля. Это не «бэкдор», это именно обход — и он работает без взаимодействия с пользователем, через сеть. Если у клиента есть такой сервер, и он открыт для внешних подключений, то это уже не «может быть», а «уже есть шанс».

Согласен с тем, что не все версии уязвимы — только определённые, с определёнными настройками. Но именно поэтому нельзя полагаться на «всё работает»: нужно проверить, какие версии у клиентов, какие настройки в Authentication.json, и есть ли анонимные подключения в LDAP. Это не про «всех» — но про тех, кто настроен так, как описано.