CVE-2026-71307 in Lemur
الملخص
بحسب VulDB • 21/08/2026
تقوم إدارة شهادات TLS في برنامج Lemur. قبل الإصدار 1.9.3، اعتمدت نقاط النهاية GET /api/1/destinations وGET /api/1/destinations/ على المصادقة فقط بينما كانت معالجات الكتابة الشقيقة تتطلب إذن المسؤول (admin_permission). كان مخطط DestinationOutputSchema يعيد الخيارات الخام وينسخها إلى pluginOptions دون إخفاء القيم الحساسة. قام ملحق sftp-destination بتخزين قيم كلمة المرور وprivateKeyPass بشكل نصي واضح، مما سمح للمستخدم ذي الصلاحيات المقروءة فقط باسترداد بيانات الاعتماد الخاصة بمضيفي نشر الشهادات عن بُعد. يمكن أن تتيح البيانات المعرّفة الوصول المباشر إلى أنظمة SFTP والمواد المتعلقة بـ TLS خارج حدود أمان Lemur. يتطلب الإصلاح إذن المسؤول لقراءات الوجهة وإخفاء الخيارات المحددة على أنها حساسة. تم إصلاح هذه المشكلة في الإصدار 1.9.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.