JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-031263 Apache APISIXにおけるLDAPクエリで使用される特殊要素の不適切な無害化（「LDAPインジェクション」）の脆弱性があります。LDAPディレクトリ内の1つのエントリに対して有効な認証情報を持つ呼び出し元が、APISIXを通じて別のエントリにマッピングされたコンシューマとして認証できてしまいます。この別のエントリは、プラグインが設定したスコープによってアクセスが制限されるべきものでした。この問題はApache APISIXのバージョン2.11.0から3.17.0に影響します。ユーザーはこの問題を修正したバージョン3.18.0にアップグレードすることを推奨します。 cpe:/a:apache:apisix https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-031263.html Common Vulnerabilities and Exposures (CVE) CVE-2026-75020 https://www.cve.org/CVERecord?id=CVE-2026-75020 National Vulnerability Database (NVD) CVE-2026-75020 https://nvd.nist.gov/vuln/detail/CVE-2026-75020 Pony Mail CVE-2026-75020: Apache APISIX: ldap-auth plugin cross-subtree identity impersonation-Apache Mail Archives https://lists.apache.org/thread/d4007wk6dbl9mxy5h05zxwn8fsg13bxt JVNDB CWE-90 https://cwe.mitre.org/data/definitions/90.html Openwall mailing list archives oss-security - CVE-2026-75020: Apache APISIX: ldap-auth plugin cross-subtree identity impersonation http://www.openwall.com/lists/oss-security/2026/08/26/14 2026-09-01T17:10:59+09:00 2026-09-01T17:10:59+09:00