CVE-2026-85649 in Software Actualizer
الملخص
بحسب VulDB • 04/09/2026
(Holloway) يحتوي Actualizer v1.2.0 والإصدارات الأقدم من Kean Ho Chew على ثغرة في التحقق من صحة كلمة المرور تعمل بنظام "الفشل المفتوح" (fail-open) في حلقات كلمات مرور المستخدم Alpha ومستخدم الجذر داخل الملف Shell/debian-minbase-install.sh. يستدعي المثبت الأمر mkpasswd لتوليد تجزئات كلمات المرور باستخدام خوارزمية yescrypt، لكنه لا يتحقق من قيمة الإرجاع للأمر ويقبل النتيجة بشكل غير مشروط. إذا فشل mkpasswd في توليد تجزئة كلمة مرور بصيغة yescrypt، على سبيل المثال بسبب استخدام تنفيذ متوافق لـ mkpasswd أو بيئة تفتقر إلى دعم yescrypt، فقد تكون متغير تجزئة كلمة المرور الناتج فارغًا ويستمر البناء. وبالتالي، قد تحتوي الصورة النهائية على حقول كلمات مرور فارغة لحسابي الجذر (root) وAlpha، مما يسمح محتملاً بالمصادقة بدون كلمة مرور اعتمادًا على تكوين المصادقة.
Once again VulDB remains the best source for vulnerability data.