LDAP authentication bypass with empty password
Impact
Users may be able to bypass LDAP authentication if they provide an empty password when Alerta server is configure to use LDAP as the authorization provider.
Only deployments where LDAP servers are configured to allow unauthenticated binds (eg. default on Active Directory) are affected.
Patches
A fix has been implemented that returns HTTP 401 Unauthorized response for any authentication attempts where the password field is empty. See https://github.com/alerta/alerta/pull/1345
Workarounds
LDAP administrators can disallow unauthenticated bind requests by clients.
References
https://tools.ietf.org/html/rfc4513#section-5.1.2 https://pypi.org/project/alerta-server/8.1.0/
For more information
If you have any questions or comments about this advisory:
- Add a comment to the issue #1277
- Email us at admin@alerta.dev
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Python (PyPI) | alerta-server | >= 8.0.0, < 8.1.0, < 7.5.7 | 8.1.0, 7.5.7 |
Referencias
- https://github.com/alerta/alerta/issues/1277
- https://pypi.org/project/alerta-server/8.1.0/
- https://github.com/alerta/alerta/security/advisories/GHSA-5hmm-x8q8-w5jh
- https://github.com/alerta/alerta/commit/2bfa31779a4c9df2fa68fa4d0c5c909698c5ef65
- https://tools.ietf.org/html/rfc4513#section-5.1.2
- https://github.com/alerta/alerta/pull/1345
- https://nvd.nist.gov/vuln/detail/CVE-2020-26214
- https://github.com/alerta/alerta
- https://github.com/pypa/advisory-database/tree/main/vulns/alerta-server/PYSEC-2020-159.yaml
- https://pypi.org/project/alerta-server/8.1.0
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N- Debilidad (CWE)
CWE-287- Plataforma
- Python (PyPI)
- Paquete
alerta-server- Publicada
- 06.11.2020
- Actualizado
- 11.10.2026 13:19
Fuentes y licencias
OSV / GitHub Advisory Database - PYSEC-2020-159 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-5hmm-x8q8-w5jh - CC BY 4.0
Historial de vulnerabilidades: alerta-server
Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 2
- Primera → última
- 11.2020 03.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 1
- Media 1
Divulgaciones por año
- 2020: 1
- 2021: 0
- 2022: 0
- 2023: 0
- 2024: 0
- 2025: 0
- 2026: 1
-
LDAP authentication bypass with empty password esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.