Krytyczna

LDAP authentication bypass with empty password

Ujawniono: 06.11.2020
Aktualizacja: 11.10.2026 13:19

Impact

Users may be able to bypass LDAP authentication if they provide an empty password when Alerta server is configure to use LDAP as the authorization provider.

Only deployments where LDAP servers are configured to allow unauthenticated binds (eg. default on Active Directory) are affected.

Patches

A fix has been implemented that returns HTTP 401 Unauthorized response for any authentication attempts where the password field is empty. See https://github.com/alerta/alerta/pull/1345

Workarounds

LDAP administrators can disallow unauthenticated bind requests by clients.

References

https://tools.ietf.org/html/rfc4513#section-5.1.2 https://pypi.org/project/alerta-server/8.1.0/

For more information

If you have any questions or comments about this advisory:

Add a comment to the issue #1277
Email us at admin@alerta.dev

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Python (PyPI)	alerta-server	>= 8.0.0, < 8.1.0, < 7.5.7	8.1.0, 7.5.7

Odnośniki

Ocena CVSS 9.1/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Słabość (CWE): CWE-287
Platforma: Python (PyPI)
Paczka: alerta-server
Ujawniono: 06.11.2020
Aktualizacja: 11.10.2026 13:19

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2020-159 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-5hmm-x8q8-w5jh - CC BY 4.0

Historia podatności: alerta-server

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 2
Pierwsza → ostatnia: 11.2020 03.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 1
Średnia 1

Ujawnienia w latach

2020: 1
2021: 0
2022: 0
2023: 0
2024: 0
2025: 0
2026: 1

31.03.2026

alerta-server has potential SQL Injection vulnerability in Query String Syntax (q=) API

Średnia CVE-2026-34400 < 9.1.0 9.1.0
06.11.2020

LDAP authentication bypass with empty password ten wpis

Krytyczna · 9.1 CVE-2020-26214 >= 8.0.0, < 8.1.0, < 7.5.7 8.1.0, 7.5.7

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację