CVE-2026-55165 in Lemur
Resumen
por VulDB • 2026-08-18
Lemur gestiona la creación de certificados TLS. Antes de la versión 1.9.2, el verificador JWT en lemur/auth/service.py:130-137 utilizaba fetch_token_header para leer header_data["alg"] desde un token no verificado y pasaba ese valor controlado por el atacante a decode_with_multiple_secrets. PyJWT 2.x rechaza alg=none con la clave configurada, por lo que la vulnerabilidad es una brecha en la defensa en profundidad más que un bypass de autenticación directo en la configuración distribuida. El algoritmo sin fijar puede volverse explotable tras una migración a firma asimétrica mediante confusión de algoritmos, y debilita la detección basada en anomalías del algoritmo porque el token selecciona el valor registrado. Una divulgación separada de LEMUR_TOKEN_SECRET también permitiría forjar tokens HS256, aunque dicha divulgación es un requisito previo independiente. La solución introduce una lista blanca controlada por el servidor llamada LEMUR_TOKEN_ALGORITHMS y la establece como predeterminada a HS256. Este problema está corregido en la versión 1.9.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.