Michal Kedzior found two vulnerabilities in LDAP Account Manager, a web front-end for LDAP directories.

  - CVE-2018-8763     The found Reflected Cross Site Scripting (XSS)     vulnerability might allow an attacker to execute     JavaScript code in the browser of the victim or to     redirect her to a malicious website if the victim clicks     on a specially crafted link.

  - CVE-2018-8764     The application leaks the CSRF token in the URL, which     can be use by an attacker to perform a Cross-Site     Request Forgery attack, in which a victim logged in LDAP     Account Manager might performed unwanted actions in the     front-end by clicking on a link crafted by the attacker.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Roland Gruber Softwareentwicklung LDAP Account Manager before 6.3 places a CSRF token in the sec_token     parameter of a URI, which makes it easier for remote attackers to defeat a CSRF protection mechanism by     leveraging logging. (CVE-2018-8764)

Note that Nessus relies on the presence of the package as reported by the vendor.

Michal Kedzior氏は、LDAPディレクトリのWebフロントエンドであるLDAP Account Managerに2つの脆弱性を発見しました。

  - CVE-2018-8763見つかった反射型クロスサイトスクリプティング（XSS）の脆弱性により、攻撃者が被害者のブラウザでJavaScriptコードを実行したり、被害者が特別に細工されたリンクをクリックした場合に、悪意のあるWebサイトにリダイレクトしたりする可能性があります。

  - CVE-2018-8764アプリケーションがURLのCSRFトークンを漏洩します。これにより、攻撃者が、クロスサイトリクエストフォージェリ攻撃を実行する可能性があります。このため、LDAPアカウントマネージャーにログインしている被害者が、攻撃者が細工したリンクをクリックすると、フロントエンドで好ましくない動作を実行する可能性があります。

Michal Kedzior 在 LDAP 目錄的 web 前端 LDAP Account Manager 中發現兩個弱點。- CVE-2018-8763 攻擊者可利用發現的反射式跨網站指令碼 (XSS) 弱點，藉著受害者點選特製連結時，在受害者的瀏覽器中執行 JavaScript 程式碼或將其重新導向至惡意網站。- CVE-2018-8764 應用程式在 URL 中洩漏 CSRF 權杖，攻擊者可利用洩漏資訊執行跨網站要求偽造攻擊，導致登入 LDAP Account Manager 的受害者可能會透過點選攻擊者特製的連結而在前端執行非預期動作。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 6.3 より前の Roland Gruber Softwareentwick最大 LDAP Account Manager は、URI の sec_token パラメーターに CSRF トークンを配置します。これにより、リモートの攻撃者がロギングを利用して CSRF 保護メカニズムをより簡単に阻止できるようになります。CVE-2018-8764

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Michal Kedzior在 LDAP 目录的 web 前端 LDAP 帐户管理器中发现两个漏洞。- CVE-2018-8763 发现的反射跨站脚本 (XSS) 漏洞可能允许攻击者在受害者单击特制链接时在受害者的浏览器中执行 JavaScript 代码或将受害者重定向到恶意网站。- CVE-2018-8764 该应用程序泄露了 URL 中的 CSRF 令牌，攻击者可使用该令牌执行跨站请求伪造攻击，在这种情况下，登录 LDAP 帐户管理器的受害者可能会由于单击攻击者特制的链接而在前端执行不必要的操作。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 低于 6.3 的 Roland Gruber Softwareentwicklung LDAP Account Manager 放置 CSRF 标记在 URI 的 sec_token 参数中让远程攻击者更容易利用日志记录破解 CSRF 保护机制。 (CVE-2018-8764)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 之前的 Roland Gruber Softwareentwicklung LDAP Account Manager 6.3 會在 URI 的 sec_token 參數中放置一個 CSRF token這會讓遠端攻擊者更容易利用記錄來破解 CSRF 保護機制。 (CVE-2018-8764)

請注意，Nessus 依賴供應商報告的套件存在。

ID	名稱	產品	系列	已發布	已更新	嚴重性
108817	Debian DSA-4165-1 : ldap-account-manager - security update	Nessus	Debian Local Security Checks	2018/4/4	2024/11/21	high
250802	Linux Distros Unpatched Vulnerability : CVE-2018-8764	Nessus	Misc.	2025/8/18	2025/8/18	high
108817	DebianDSA-4165-1：ldap-account-manager - セキュリティ更新	Nessus	Debian Local Security Checks	2018/4/4	2024/11/21	high
108817	Debian DSA-4165-1：ldap-account-manager - 安全性更新	Nessus	Debian Local Security Checks	2018/4/4	2024/11/21	high
250802	Linux Distros のパッチ未適用の脆弱性: CVE-2018-8764	Nessus	Misc.	2025/8/18	2025/8/18	high
108817	Debian DSA-4165-1：ldap-account-manager - 安全更新	Nessus	Debian Local Security Checks	2018/4/4	2024/11/21	high
250802	Linux Distros 未修补的漏洞：CVE-2018-8764	Nessus	Misc.	2025/8/18	2025/8/18	high
250802	Linux Distros 未修補的弱點：CVE-2018-8764	Nessus	Misc.	2025/8/18	2025/8/18	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high