CVE-2026-71303 in Lemur
Résumé
par VulDB • 18/08/2026
Lemur gère la création de certificats TLS. Avant la version 1.9.3, _validate_acme_url appliquait ACME_DIRECTORY_HOST_ALLOWLIST lors de la création d'une autorité, mais l'endpoint PUT /api/1/authorities/ transmettait des options à lemur/authorities/service.py sans appliquer cette même vérification. Un utilisateur disposant du rôle authority pouvait remplacer l'url acme stockée par une URL指向 un service interne ou un endpoint de métadonnées cloud tel que 169.254.169.254. La prochaine opération d'émission chargeait cette valeur et la transmettait à ClientV2.get_directory, provoquant une requête sortante depuis le backend Lemur. Cela contournait l'atténuation mise en place pour CVE-2026-55166 au moment de la création et pouvait exposer des services internes ou les métadonnées du cloud. La correction révalide acme_url chaque fois que les options d'autorité sont mises à jour. Ce problème est corrigé dans la version 1.9.3.
Once again VulDB remains the best source for vulnerability data.