遠端 Debian 12 主機已安裝的套件會受到 dla-4797 公告中提及的弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4797-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Xavier 吉馬爾德 2026 年 9 月 26 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：lemonldap-ng 版本：+ 2.16.1ds-deb12u10 CVE ID： CVE-2026-95811

    Web-SSO 系統 lemonldap-ng 中已修正多個弱點。

    CVE-2026-95811

        存取規則 （locationRules） 已針對原始要求 URI 進行測試，而 Web 伺服器則在解碼和正規化路徑上路由。攻擊者可以使用 URL 中的百分比編碼字元或點區段 （不是預設規則） 來繞過某些管理介面存取規則。

    此外，還修正了以下問題：

      * 多次傳送的要求參數可能會在內部資料結構 （RESTProxy/SOAP 資料、spoofId、範本） 中插入任意金鑰。
      * 檢查對其他虛擬主機 （功能表、REST/SOAP authorizationfor、CheckUser） 的存取時，會使用目前虛擬主機的驗證等級，而非目標虛擬主機的驗證等級。
      * 使用 browsersDontStorePassword，在入口網站表單中輸入的密碼可以以純文字顯示。

    對於 Debian 12 書蟲，這些問題已在 +ds-deb12u10 版本 2.16.1中修復。

    建議您升級 lemonldap-ng 套件。

    如需有關 lemonldap-ng 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/lemonldap-ng

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dla-4797 ： lemonldap-ng - 安全性更新

medium Nessus Plugin ID 350782

版本 1.1