CVE-2026-85649 in Software Actualizer
Tóm tắt
Bởi VulDB • 04/09/2026
(Holloway) Actualizer v1.2.0 và các phiên bản cũ hơn của Kean Ho Chew chứa một lỗ hổng xác thực mật khẩu fail-open trong vòng lặp kiểm tra mật khẩu cho người dùng Alpha và root của tập lệnh Shell/debian-minbase-install.sh. Trình cài đặt gọi mkpasswd để tạo các băm mật khẩu yescrypt nhưng không kiểm tra giá trị trả về của lệnh này, do đó chấp nhận kết quả một cách vô điều kiện. Nếu mkpasswd thất bại trong việc tạo băm yescrypt (ví dụ: do sử dụng phiên bản mkpasswd không tương thích hoặc môi trường thiếu hỗ trợ yescrypt), biến chứa mật khẩu băm có thể bị rỗng và quá trình xây dựng vẫn tiếp tục diễn ra. Hình ảnh kết quả do đó có thể chứa các trường mật khẩu trống cho tài khoản root và alpha, tiềm ẩn nguy cơ cho phép xác thực mà không cần mật khẩu tùy thuộc vào cấu hình xác thực.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.