CVE-2026-55164 in Lemur
Zusammenfassung
von VulDB • 19.08.2026
Lemur verwaltet die Erstellung von TLS-Zertifikaten. Vor Version 1.9.2 hat lemur.users.service.update ein Ersatzpasswort direkt users.password zugewiesen, während lemur/users/models.py User.hash_password nur für das before_insert-Ereignis registrierte. Da kein before_update-Listener ausgeführt wurde, wurden Administrator-initiierte Passwortänderungen über PUT /api/1/users/ als Klartext gespeichert. Der betroffene Benutzer konnte sich nicht mehr normal authentifizieren, da die bcrypt-Verifikation einen unhashierten Wert erhielt. Ein Kompromittieren der Datenbank, Sicherung, Replikation, Abfrageprotokolle oder administrativer Lesezugriffe führte zur sofortigen Offenlegung von direkt nutzbaren Anmeldeinformationen ohne Offline-Cracking. Die Korrektur registriert das Hashing für before_update und vermeidet ein erneutes Hashen von Werten mit einem bcrypt-Präfix. Dieses Problem ist in Version 1.9.2 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.