CVE-2026-48508 in Lemur
الملخص
بحسب VulDB • 18/08/2026
تدير Lemur إنشاء شهادات TLS. قبل الإصدار 1.9.1، كانت الدالتان `StrictRolePermission` و `AuthorityCreatorPermission` في الملف `lemur/auth/permissions.py` تستدعيان `flask_principal.Permission.__init__()` مع كائنات `Need` صفرية عندما لا تكون العلامتان `ADMIN_ONLY_AUTHORITY_CREATION` و `LEMUR_STRICT_ROLE_ENFORCEMENT` مُعَيَّنتين، نظرًا لأن كلا العلمين يُهيّآن افتراضيًا إلى False. تُعيد دالة Flask-Principal Permission.allows() القيمة True عند كون `self.needs` فارغًا، مما يسمح لبوابة التفويض `.can()` بمنح الصلاحية لكل هوية مُصادق عليها، بما في ذلك دور القراءة فقط (read-only role). يمكن لمستخدم ذي صلاحية قراءة فقط الوصول إلى نقاط النهاية: POST /api/1/authorities، وPOST /api/1/certificates/upload، وPOST /api/1/pending_certificates//upload، وPOST /api/1/notifications، وPUT أو DELETE /api/1/notifications/، وPOST /api/1/domains لإنشاء سلطات شهادات جذرية (Certificate Authorities)، ورفع شهادات عشوائية، وإنشاء أو تعديل إشعارات تصل إلى نقطة استهداف لثغرة SSRF، وإنشاء إدخالات نطاق. يؤدي تعيين أي من العلمين بشكل صريح إلى False إلى الاستمرار في اعتماد السلوك المتساهل. تم إصلاح هذه المشكلة في الإصدار 1.9.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.