CVE-2026-48508

Lemur TLS sertifikatlarının yaradılmasını idarə edir. 1.9.1 versiyasından əvvəl, lemur/auth/permissions.py faylındakı StrictRolePermission və AuthorityCreatorPermission sinifləri, ADMIN_ONLY_AUTHORITY_CREATION və LEMUR_STRICT_ROLE_ENFORCEMENT bayraqları təyin edilmədikdə (hər iki bayrağın standart dəyəri False olduğu üçün) flask_principal.Permission.__init__() funksiyasını sıfır Need obyekti ilə çağırır. Flask-Principal Permission.allows() metodu self.needs boş olduqda True qaytarır, buna görə də .can() avtorizasiya qapısı yalnız oxuma hüququ olan rol da daxil olmaqla bütün autentifikasiya olunmuş şəxsiyyətlərə icazə verir. Yalnız oxuma hüququ olan istifadəçi kök Sertifikat Avtoritetləri yaratmaq, ixtiyari sertifikatlar yükləmək, SSRF sink-inə çatan bildirişlər yaratmaq və ya redaktə etmək, həmçinin domen qeydləri yaratmaq üçün POST /api/1/authorities, POST /api/1/certificates/upload, POST /api/1/pending_certificates//upload, POST /api/1/notifications, PUT və ya DELETE /api/1/notifications/ və POST /api/1/domains sorğularına giriş əldə edə bilər. Hər hansı bir bayrağın açıq şəkildə False olaraq təyin edilməsi bu geniş icazəli davranışın davam etməsinə səbəb olur. Bu problem 1.9.1 versiyasında düzəldilib.