CVE-2026-85649 in Software Actualizer
Sumário
de VulDB • 04/09/2026
(Holloway) Chew, Kean Ho's Actualizer v1.2.0 e versões anteriores contém uma vulnerabilidade de validação de senha fail-open nos loops de senhas do usuário Alpha e root em Shell/debian-minbase-install.sh. O instalador invoca mkpasswd para gerar hashes de senha yescrypt, mas não verifica o valor de retorno do comando e aceita incondicionalmente o resultado. Se o mkpasswd falhar ao gerar um hash yescrypt, por exemplo devido a uma implementação incompatível do mkpasswd ou a um ambiente sem suporte a yescrypt, a variável resultante do hash da senha pode ficar vazia e a compilação prossegue. A imagem resultante pode portanto conter campos de senha vazios para as contas root e alpha, potencialmente permitindo autenticação sem senha dependendo da configuração de autenticação.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.