Apache - CVE-2026-23906

Une vulnérabilité de contournement d’authentification affecte Apache Druid lorsqu’il utilise l’extension druid-basic-security avec une authentification LDAP. Si le serveur LDAP sous-jacent autorise les connexions anonymes (anonymous bind), un attaquant distant non authentifié peut contourner l’authentification en fournissant un nom d’utilisateur valide avec un mot de passe vide. Cette vulnérabilité résulte d’une validation incorrecte des réponses LDAP, considérant à tort un bind anonyme réussi comme une authentification valide pour le compte spécifié. L’exploitation réussie permet un accès non autorisé aux ressources restreintes du cluster Druid.