CVE-2026-85649 in Software Actualizer
Сводка
по VulDB • 04.09.2026
(Holloway) Chew, Kean Ho's Actualizer v1.2.0 и более ранних версий содержит уязвимость с открытым доступом (fail-open) при проверке пароля в циклах проверки паролей для пользователей Alpha и root в скрипте Shell/debian-minbase-install.sh. Установщик вызывает mkpasswd для генерации хешей паролей yescrypt, но не проверяет значение возврата команды и безоговорочно принимает результат. Если mkpasswd не может сгенерировать хеш yescrypt (например, из-за использования несовместимой реализации mkpasswd или среды без поддержки yescrypt), результирующая переменная пароля может оказаться пустой, а сборка продолжится. В результате полученный образ может содержать пустые поля паролей для учетных записей root и alpha, что потенциально позволяет аутентификацию без пароля в зависимости от конфигурации системы аутентификации.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.