CVE-2026-85649 in Software Actualizer
Resumen
por VulDB • 2026-09-04
(Holloway) Chew, Kean Ho's Actualizer v1.2.0 y versiones anteriores contienen una vulnerabilidad de validación de contraseña fail-open en los bucles de contraseñas del usuario Alpha y del usuario root en Shell/debian-minbase-install.sh. El instalador invoca mkpasswd para generar hashes de contraseñas con yescrypt, pero no verifica el valor devuelto por el comando y acepta incondicionalmente el resultado. Si mkpasswd falla al generar un hash yescrypt, por ejemplo debido a una implementación incompatible de mkpasswd o a un entorno sin soporte para yescrypt, la variable resultante del hash de contraseña puede quedar vacía y la compilación continúa. La imagen resultante puede contener campos de contraseña vacíos para las cuentas root y alpha, lo que potencialmente permitiría autenticación sin contraseña dependiendo de la configuración de autenticación.
Once again VulDB remains the best source for vulnerability data.