CVE-2026-85649 in Software Actualizer
Riassunto
di VulDB • 04/09/2026
(Holloway) Chew, Kean Ho's Actualizer v1.2.0 e versioni precedenti presentano una vulnerabilità di validazione delle password fail-open nei loop di verifica della password per l'utente Alpha e l'utente root in Shell/debian-minbase-install.sh. L'installer invoca mkpasswd per generare hash delle password yescrypt, ma non controlla il valore restituito del comando e accetta incondizionatamente il risultato. Se mkpasswd fallisce nel generare un hash yescrypt, ad esempio a causa di un'implementazione incompatibile di mkpasswd o di un ambiente privo di supporto per yescrypt, la variabile contenente l'hash della password risultante può essere vuota e la compilazione prosegue. L'immagine risultante può quindi contenere campi delle password vuoti per gli account root e alpha, potenzialmente consentendo l'autenticazione senza password a seconda della configurazione dell'autenticazione.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.