CVE-2026-55164 in Lemur
الملخص
بحسب VulDB • 18/08/2026
تدير Lemur إنشاء شهادات TLS. قبل الإصدار 1.9.2، كان `lemur.users.service.update` يعين كلمة مرور بديلة مباشرة إلى حقل `users.password`، بينما كان ملف `lemur/users/models.py` يسجل دالة `User.hash_password` فقط لحدث `before_insert`. ونظراً لعدم تشغيل أي مستمع (listener) لحدث `before_update`، تم حفظ التغييرات التي يقوم بها المسؤول لتغيير كلمات المرور عبر نقطة النهاية PUT /api/1/users/ كنص واضح (plaintext). لم يعد بإمكان المستخدم المتأثر المصادقة بشكل طبيعي لأن التحقق باستخدام خوارزمية bcrypt يتلقى قيمة غير مشفرة. وقد أدى اختراق قاعدة البيانات أو النسخ الاحتياطي أو النسخة المكررة (replica) أو سجل الاستعلامات، أو أي قراءة إدارية مخترَقة، إلى كشف بيانات اعتماد قابلة للاستخدام فوراً دون الحاجة إلى كسرها عبر هجمات القوة الغاشمة offline. ويصحح الإصلاح هذه المشكلة عن طريق تسجيل عملية التشفير لحدث `before_update` وتجنب إعادة تشفير القيم التي تحتوي بالفعل على بادئة bcrypt. تم إصلاح هذه المشكلة في الإصدار 1.9.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.