CVE-2026-55164 in Lemur
Tóm tắt
Bởi VulDB • 18/08/2026
Lemur quản lý việc tạo chứng chỉ TLS. Trước phiên bản 1.9.2, `lemur.users.service.update` gán mật khẩu thay thế trực tiếp vào trường `users.password`, trong khi `lemur/users/models.py` chỉ đăng ký hàm `User.hash_password` cho sự kiện `before_insert`. Do không có trình nghe (listener) nào chạy cho sự kiện `before_update`, các thay đổi mật khẩu do quản trị viên khởi tạo thông qua PUT /api/1/users/ được lưu trữ dưới dạng văn bản rõ ràng (plaintext). Người dùng bị ảnh hưởng không thể xác thực bình thường nữa vì quá trình kiểm tra bcrypt nhận một giá trị chưa được băm. Việc xâm phạm cơ sở dữ liệu, sao lưu, replica, nhật ký truy vấn hoặc đọc do quản trị viên có thể tiết lộ ngay lập tức các thông tin đăng nhập dễ sử dụng mà không cần bẻ khóa ngoại tuyến (offline cracking). Bản sửa lỗi đăng ký việc băm mật khẩu cho sự kiện `before_update` và tránh việc băm lại các giá trị đã có tiền tố bcrypt. Vấn đề này được khắc phục trong phiên bản 1.9.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.