Kritisch

LDAP authentication bypass with empty password

Veröffentlicht: 06.11.2020
Aktualisiert: 11.10.2026 13:19

Impact

Users may be able to bypass LDAP authentication if they provide an empty password when Alerta server is configure to use LDAP as the authorization provider.

Only deployments where LDAP servers are configured to allow unauthenticated binds (eg. default on Active Directory) are affected.

Patches

A fix has been implemented that returns HTTP 401 Unauthorized response for any authentication attempts where the password field is empty. See https://github.com/alerta/alerta/pull/1345

Workarounds

LDAP administrators can disallow unauthenticated bind requests by clients.

References

https://tools.ietf.org/html/rfc4513#section-5.1.2 https://pypi.org/project/alerta-server/8.1.0/

For more information

If you have any questions or comments about this advisory:

Add a comment to the issue #1277
Email us at admin@alerta.dev

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Python (PyPI)	alerta-server	>= 8.0.0, < 8.1.0, < 7.5.7	8.1.0, 7.5.7

Verweise

CVSS-Wert 9.1/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Schwäche (CWE): CWE-287
Plattform: Python (PyPI)
Paket: alerta-server
Veröffentlicht: 06.11.2020
Aktualisiert: 11.10.2026 13:19

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2020-159 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-5hmm-x8q8-w5jh - CC BY 4.0

Schwachstellenhistorie: alerta-server

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 2
Erste → letzte: 11.2020 03.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Kritisch 1
Mittel 1

Veröffentlichungen pro Jahr

2020: 1
2021: 0
2022: 0
2023: 0
2024: 0
2025: 0
2026: 1

31.03.2026

alerta-server has potential SQL Injection vulnerability in Query String Syntax (q=) API

Mittel CVE-2026-34400 < 9.1.0 9.1.0
06.11.2020

LDAP authentication bypass with empty password dieser Eintrag

Kritisch · 9.1 CVE-2020-26214 >= 8.0.0, < 8.1.0, < 7.5.7 8.1.0, 7.5.7

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden