CVE-2026-55164 in Lemur
要約
〜によって VulDB • 2026年08月19日
LemurはTLS証明書の作成を管理します。バージョン1.9.2以前では、lemur.users.service.updateが置換パスワードをusers.passwordに直接割り当てていましたが、lemur/users/models.pyではUser.hash_passwordがbefore_insertイベントに対してのみ登録されていました。before_updateリスナーが実行されなかったため、PUT /api/1/users/経由で管理者が行うパスワード変更は平文としてコミットされました。影響を受けたユーザーは、bcrypt検証がハッシュ化されていない値を受け取ったため、正常に認証できなくなりました。データベース、バックアップ、レプリカ、クエリログ、または管理用の読み取りアクセスの侵害により、オフラインでのクラッキングなしで即座に使用可能な資格情報が露見しました。修正ではbefore_updateに対するハッシュ処理が登録され、すでにbcryptプレフィックスを持つ値のリハッシュは回避されます。この問題はバージョン1.9.2で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.