製品・ソフトウェアに関する情報
Vulnerability Search
mitmproxyにおけるLDAP インジェクションの脆弱性
Title mitmproxyにおけるLDAP インジェクションの脆弱性
Summary

mitmproxyはペネトレーションテスターとソフトウェア開発者向けの対話型TLS対応HTTPインターセプトプロキシであり、mitmwebはmitmproxyのウェブベースのインターフェースです。mitmproxy 12.2.1以下のバージョンでは、組み込みのLDAPプロキシ認証がLDAPサーバーにクエリを送信する際にユーザー名を正しくサニタイズしていませんでした。この問題により、悪意のあるクライアントが認証を回避できる可能性がありました。LDAPを使用したproxyauthオプションを有効にしているmitmproxyインスタンスのみが影響を受けます。このオプションはデフォルトで有効になっていません。この脆弱性はmitmproxy 12.2.2以降で修正されています。

Possible impacts 当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 
Solution

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Publication Date April 21, 2026, midnight
Registration Date April 27, 2026, 10:47 a.m.
Last Update April 27, 2026, 10:47 a.m.
CVSS3.0 : 警告
Score 4.8
Vector CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N
Affected System
mitmproxy
mitmproxy 12.2.2 未満
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
No Changed Details Date of change
1 [2026年04月27日]
  掲載		 April 27, 2026, 10:47 a.m.
NVD Vulnerability Information
CVE-2026-40606
Summary

mitmproxy is a interactive TLS-capable intercepting HTTP proxy for penetration testers and software developers and mitmweb is a web-based interface for mitmproxy. In mitmproxy 12.2.1 and below, the builtin LDAP proxy authentication does not correctly sanitize the username when querying the LDAP server. This allows a malicious client to bypass authentication. Only mitmproxy instances using the proxyauth option with LDAP are affected. This option is not enabled by default. The vulnerability has been fixed in mitmproxy 12.2.2 and above.

Publication Date April 22, 2026, 3:16 a.m.
Registration Date April 25, 2026, 4:03 a.m.
Last Update April 24, 2026, 10:33 p.m.
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:mitmproxy:mitmproxy:*:*:*:*:*:*:*:* 12.2.2
Related information, measures and tools
Common Vulnerabilities List