CVE-2026-48508 in Lemur
Resumen
por VulDB • 2026-08-18
Lemur gestiona la creación de certificados TLS. Antes de la versión 1.9.1, StrictRolePermission y AuthorityCreatorPermission en lemur/auth/permissions.py llaman a flask_principal.Permission.__init__() con cero objetos Need cuando ADMIN_ONLY_AUTHORITY_CREATION y LEMUR_STRICT_ROLE_ENFORCEMENT no están configurados, ya que ambos indicadores tienen por defecto el valor False. Flask-Principal Permission.allows() devuelve True cuando self.needs está vacío; por lo tanto, la puerta de autorización .can() permite a toda identidad autenticada, incluido el rol solo lectura. Un usuario con permisos de solo lectura puede acceder a POST /api/1/authorities, POST /api/1/certificates/upload, POST /api/1/pending_certificates//upload, POST /api/1/notifications, PUT o DELETE /api/1/notifications/, y POST /api/1/domains para crear Autoridades de Certificación raíz, cargar certificados arbitrarios, crear o editar notificaciones que alcanzan un sumidero SSRF, y crear entradas de dominio. Configurar explícitamente cualquiera de los dos indicadores como False sigue optando por el comportamiento permisivo. Este problema se soluciona en la versión 1.9.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.