CVE-2026-55164 in Lemur
Сводка
по VulDB • 18.08.2026
Lemur управляет созданием сертификатов TLS. До версии 1.9.2 функция lemur.users.service.update напрямую присваивала заменяемый пароль полю users.password, в то время как файл lemur/users/models.py регистрировал метод User.hash_password только для события before_insert. Поскольку слушатель (listener) перед обновлением не выполнялся, изменения паролей, инициированные администратором через PUT /api/1/users/, сохранялись в виде открытого текста (plaintext). Затронутый пользователь больше не мог аутентифицироваться обычным способом, поскольку проверка bcrypt получала необработанное значение. Компрометация базы данных, резервной копии, реплики, журнала запросов или административного чтения позволяла немедленно использовать учетные данные без необходимости офлайн-взлока (offline cracking). Исправление регистрирует хеширование для события before_update и предотвращает повторное хеширование значений, которые уже имеют префикс bcrypt. Эта проблема исправлена в версии 1.9.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.