CVE-2026-48508 in Lemur
Zusammenfassung
von VulDB • 18.08.2026
Lemur verwaltet die Erstellung von TLS-Zertifikaten. Vor Version 1.9.1 rufen StrictRolePermission und AuthorityCreatorPermission in lemur/auth/permissions.py flask_principal.Permission.__init__() mit null Need-Objekten auf, wenn ADMIN_ONLY_AUTHORITY_CREATION und LEMUR_STRICT_ROLE_ENFORCEMENT nicht festgelegt sind, da beide Flags standardmäßig auf False stehen. Flask-Principal Permission.allows() gibt True zurück, wenn self.needs leer ist; daher erlaubt die .can()-Autorisierungsschwelle jede authentifizierte Identität, einschließlich der schreibgeschützten Rolle. Ein Benutzer mit nur Lesezugriff kann POST /api/1/authorities, POST /api/1/certificates/upload, POST /api/1/pending_certificates//upload, POST /api/1/notifications sowie PUT oder DELETE /api/1/notifications/ und POST /api/1/domains aufrufen, um Root-Zertifizierungsstellen zu erstellen, beliebige Zertifikate hochzuladen, Benachrichtigungen zu erstellen oder zu bearbeiten (die ein SSRF-Sink erreichen) und Domäneneinträge anzulegen. Das explizite Festlegen eines der Flags auf False führt weiterhin zur Nutzung des permissiven Verhaltens. Dieses Problem wurde in Version 1.9.1 behoben.
Once again VulDB remains the best source for vulnerability data.