Michal Kedzior found two vulnerabilities in LDAP Account Manager, a web front-end for LDAP directories.

CVE-2018-8763

The found Reflected Cross Site Scripting (XSS) vulnerability might allow an attacker to execute JavaScript code in the browser of the victim or to redirect her to a malicious website if the victim clicks on a specially crafted link.

For Debian 7 'Wheezy', these problems have been fixed in version 3.7-2+deb7u1.

We recommend that you upgrade your ldap-account-manager packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Michal Kedzior 在 LDAP 目錄的 web 前端 LDAP Account Manager 中發現兩個弱點。CVE-2018-8763 攻擊者可利用發現的反射式跨網站指令碼 (XSS) 弱點，藉著受害者點選特製連結時，在受害者的瀏覽器中執行 JavaScript 程式碼或將其重新導向至惡意網站。針對 Debian 7「Wheezy」，這些問題已在 3.7-2+deb7u1 版本中修正。建議您升級 ldap-account-manager 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Michal Kedzior在 LDAP 目录的 web 前端 LDAP 帐户管理器中发现两个漏洞。CVE-2018-8763 发现的反射跨站脚本 (XSS) 漏洞可能允许攻击者在受害者单击特制链接时在受害者的浏览器中执行 JavaScript 代码或将受害者重定向到恶意网站。对于 Debian 7“Wheezy”，这些问题已在 3.7-2+deb7u1 版本中修复。建议您升级 ldap-account-manager 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Michal Kedzior氏は、LDAPディレクトリのWebフロントエンドであるLDAP Account Managerに2つの脆弱性を発見しました。

CVE-2018-8763

見つかった反射型クロスサイトスクリプティング（XSS）の脆弱性により、攻撃者が被害者のブラウザでJavaScriptコードを実行したり、被害者が特別に細工されたリンクをクリックした場合に、悪意のあるWebサイトにリダイレクトしたりする可能性があります。

Debian 7「Wheezy」では、これらの問題はバージョン3.7-2+deb7u1で修正されました。

お使いのldap-account-managerパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Michal Kedzior found two vulnerabilities in LDAP Account Manager, a web front-end for LDAP directories.

  - CVE-2018-8763     The found Reflected Cross Site Scripting (XSS)     vulnerability might allow an attacker to execute     JavaScript code in the browser of the victim or to     redirect her to a malicious website if the victim clicks     on a specially crafted link.

  - CVE-2018-8764     The application leaks the CSRF token in the URL, which     can be use by an attacker to perform a Cross-Site     Request Forgery attack, in which a victim logged in LDAP     Account Manager might performed unwanted actions in the     front-end by clicking on a link crafted by the attacker.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Roland Gruber Softwareentwicklung LDAP Account Manager before 6.3 has XSS via the dn parameter to the     templates/3rdParty/pla/htdocs/cmd.php URI or the template parameter to the     templates/3rdParty/pla/htdocs/cmd.php?cmd=rename_form URI. (CVE-2018-8763)

Note that Nessus relies on the presence of the package as reported by the vendor.

Michal Kedzior氏は、LDAPディレクトリのWebフロントエンドであるLDAP Account Managerに2つの脆弱性を発見しました。

  - CVE-2018-8763見つかった反射型クロスサイトスクリプティング（XSS）の脆弱性により、攻撃者が被害者のブラウザでJavaScriptコードを実行したり、被害者が特別に細工されたリンクをクリックした場合に、悪意のあるWebサイトにリダイレクトしたりする可能性があります。

  - CVE-2018-8764アプリケーションがURLのCSRFトークンを漏洩します。これにより、攻撃者が、クロスサイトリクエストフォージェリ攻撃を実行する可能性があります。このため、LDAPアカウントマネージャーにログインしている被害者が、攻撃者が細工したリンクをクリックすると、フロントエンドで好ましくない動作を実行する可能性があります。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 6.3 より前の Roland Gruber Softwareentwickung LDAP Account Manager には、templates/3rdParty/pla/htdocs/cmd.php URI に対する dn パラメーター、または templates/3rdParty/pla/htdocs/cmd.php?cmd= へのテンプレートパラメーターを介した XSS がありますrename_form URI を介して、任意の Web スクリプトまたは HTML を注入できる可能性がありました。CVE-2018-8763

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Michal Kedzior在 LDAP 目录的 web 前端 LDAP 帐户管理器中发现两个漏洞。- CVE-2018-8763 发现的反射跨站脚本 (XSS) 漏洞可能允许攻击者在受害者单击特制链接时在受害者的浏览器中执行 JavaScript 代码或将受害者重定向到恶意网站。- CVE-2018-8764 该应用程序泄露了 URL 中的 CSRF 令牌，攻击者可使用该令牌执行跨站请求伪造攻击，在这种情况下，登录 LDAP 帐户管理器的受害者可能会由于单击攻击者特制的链接而在前端执行不必要的操作。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 6.3 之前的 Roland Gruber Softwareentwicklung LDAP Account Manager 中存在通过 templates/3rdParty/pla/htdocs/cmd.php URI 的 dn 参数或 templates/3rdParty/pla/htdocs/cmd.php?cmd= 的模板参数造成的 XSS rename_form URI。 (CVE-2018-8763)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Michal Kedzior 在 LDAP 目錄的 web 前端 LDAP Account Manager 中發現兩個弱點。- CVE-2018-8763 攻擊者可利用發現的反射式跨網站指令碼 (XSS) 弱點，藉著受害者點選特製連結時，在受害者的瀏覽器中執行 JavaScript 程式碼或將其重新導向至惡意網站。- CVE-2018-8764 應用程式在 URL 中洩漏 CSRF 權杖，攻擊者可利用洩漏資訊執行跨網站要求偽造攻擊，導致登入 LDAP Account Manager 的受害者可能會透過點選攻擊者特製的連結而在前端執行非預期動作。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 6.3 版之前的 Roland Gruber Softwareentwicklung LDAP Account Manager 會讓 templates/3rdParty/pla/htdocs/cmd.php URI 的 dn 參數或 templates/3rdParty/pla/htdocs/cmd.php?cmd= 的範本參數發生 XSS rename_form URI。 (CVE-2018-8763)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

ID	Name	Product	Family	Published	Updated	Severity
108903	Debian DLA-1342-1 : ldap-account-manager security update	Nessus	Debian Local Security Checks	4/10/2018	11/12/2024	medium
108903	Debian DLA-1342-1：ldap-account-manager 安全性更新	Nessus	Debian Local Security Checks	4/10/2018	11/12/2024	medium
108903	Debian DLA-1342-1：ldap-account-manager 安全更新	Nessus	Debian Local Security Checks	4/10/2018	11/12/2024	medium
108903	Debian DLA-1342-1: ldap-account-managerセキュリティ更新	Nessus	Debian Local Security Checks	4/10/2018	11/12/2024	medium
108817	Debian DSA-4165-1 : ldap-account-manager - security update	Nessus	Debian Local Security Checks	4/4/2018	11/21/2024	high
254862	Linux Distros Unpatched Vulnerability : CVE-2018-8763	Nessus	Misc.	8/25/2025	8/25/2025	medium
108817	DebianDSA-4165-1：ldap-account-manager - セキュリティ更新	Nessus	Debian Local Security Checks	4/4/2018	11/21/2024	high
254862	Linux Distros のパッチ未適用の脆弱性: CVE-2018-8763	Nessus	Misc.	8/25/2025	8/25/2025	medium
108817	Debian DSA-4165-1：ldap-account-manager - 安全更新	Nessus	Debian Local Security Checks	4/4/2018	11/21/2024	high
254862	Linux Distros 未修补的漏洞：CVE-2018-8763	Nessus	Misc.	8/25/2025	8/25/2025	medium
108817	Debian DSA-4165-1：ldap-account-manager - 安全性更新	Nessus	Debian Local Security Checks	4/4/2018	11/21/2024	high
254862	Linux Distros 未修補的弱點：CVE-2018-8763	Nessus	Misc.	8/25/2025	8/25/2025	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

high

medium

high

medium

high

medium

high

medium