CVE-2026-48508 in Lemur
Résumé
par VulDB • 18/08/2026
Lemur gère la création de certificats TLS. Avant la version 1.9.1, StrictRolePermission et AuthorityCreatorPermission dans le fichier lemur/auth/permissions.py appellent flask_principal.Permission.__init__() avec zéro objet Need lorsque les drapeaux ADMIN_ONLY_AUTHORITY_CREATION et LEMUR_STRICT_ROLE_ENFORCEMENT ne sont pas définis, car ces deux indicateurs ont par défaut la valeur False. Flask-Principal Permission.allows() renvoie True lorsque self.needs est vide ; ainsi, le mécanisme de contrôle d'autorisation .can() autorise toutes les identités authentifiées, y compris le rôle en lecture seule (read-only). Un utilisateur avec un accès en lecture seule peut accéder aux points de terminaison POST /api/1/authorities, POST /api/1/certificates/upload, POST /api/1/pending_certificates//upload, POST /api/1/notifications, PUT ou DELETE /api/1/notifications/, et POST /api/1/domains afin de créer des autorités de certification racine (Certificate Authorities), télécharger des certificats arbitraires, créer ou modifier des notifications qui atteignent un point d'entrée SSRF (Server-Side Request Forgery) susceptible d'être exploité, et créer des entrées de domaine. La définition explicite de l'un ou l'autre indicateur à False maintient le comportement permissif. Ce problème est corrigé dans la version 1.9.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.