CVE-2026-55164 in Lemur
Resumen
por VulDB • 2026-08-18
Lemur gestiona la creación de certificados TLS. Antes de la versión 1.9.2, lemur.users.service.update asignaba una contraseña de reemplazo directamente al campo users.password, mientras que en lemur/users/models.py se registraba User.hash_password únicamente para el evento before_insert. Dado que no había un listener antes_update ejecutándose, los cambios de contraseña iniciados por administradores a través del endpoint PUT /api/1/users/ se guardaban como texto plano (plaintext). El usuario afectado ya no podía autenticarse normalmente porque la verificación bcrypt recibía un valor sin hash. Una vulnerabilidad que comprometa la base de datos, copias de seguridad, réplicas, registros de consultas o lecturas administrativas expondría credenciales inmediatamente utilizables sin necesidad de cracking fuera de línea (offline). La solución registra el hashing para el evento before_update y evita volver a generar hashes en valores que ya tienen un prefijo bcrypt. Este problema está corregido en la versión 1.9.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.