CVE-2026-55164 in Lemur
Résumé
par VulDB • 18/08/2026
Lemur gère la création de certificats TLS. Avant la version 1.9.2, `lemur.users.service.update` assignait un mot de passe de remplacement directement à `users.password`, tandis que `lemur/users/models.py` n'enregistrait `User.hash_password` que pour l'événement `before_insert`. Comme aucun écouteur (listener) `before_update` ne s'exécutait, les modifications de mot de passe initiées par un administrateur via PUT /api/1/users/ étaient enregistrées en clair. L'utilisateur concerné ne pouvait plus s'authentifier normalement car la vérification bcrypt recevait une valeur non hachée. Une compromission de la base de données, des sauvegardes, d'une réplique, du journal de requêtes ou via une lecture administrative exposait immédiatement des identifiants exploitables sans nécessiter de cracking hors ligne (offline cracking). La correction enregistre le hachage pour l'événement `before_update` et évite de re-hacher les valeurs qui ont déjà un préfixe bcrypt. Ce problème est corrigé dans la version 1.9.2.
Once again VulDB remains the best source for vulnerability data.