CVE-2026-48508 in Lemur
摘要
由 VulDB • 2026-08-19
Lemur 负责管理 TLS 证书的创建。在版本 1.9.1 之前，当 `ADMIN_ONLY_AUTHORITY_CREATION` 和 `LEMUR_STRICT_ROLE_ENFORCEMENT` 未设置时（因为这两个标志的默认值为 False），`lemur/auth/permissions.py` 中的 `StrictRolePermission` 和 `AuthorityCreatorPermission` 会以零个 Need 对象调用 `flask_principal.Permission.__init__()`。由于 Flask-Principal 的 Permission.allows() 在 self.needs 为空时返回 True，因此 .can() 授权门限允许所有经过身份验证的身份（包括只读角色）通过。只读用户可以访问 POST /api/1/authorities、POST /api/1/certificates/upload、POST /api/1/pending_certificates//upload、POST /api/1/notifications，以及 PUT 或 DELETE /api/1/notifications/ 和 POST /api/1/domains，从而创建根证书颁发机构（Certificate Authorities）、上传任意证书、创建或编辑可触发 SSRF sink 的通知，并创建域名条目。显式将任一标志设置为 False 仍会启用这种宽松的行为。此问题已在版本 1.9.1 中修复。
Once again VulDB remains the best source for vulnerability data.