CVE-2026-55163

Lemur TLS sertifikatlarının yaradılmasını idarə edir. Versiya 1.9.2-dək lemur/roles/views.py:298 faylında yerləşən PUT /api/1/roles/ sorğusu yeniləmələri RoleMemberPermission(role_id) ilə avtorizasiya edirdi ki, bu da həm administratora, həm də hədəf rolun mövcud üzvlərinə icazə verirdi. Handler data["users"] və data["name"] məlumatlarını service.update funksiyasına ötürərək, administrator olmayan üzvün digər istifadəçiləri əlavə etməsinə, silməsinə və rolu yenidən adlandırmasına şərait yaratdırırdı. Bu, sertifikat və səlahiyyət girişini idarə edən rollar daxilində lateral imtiyazların verilməsinə imkan verir və legitim üzvlərin silinməsi yolu ilə girişi bloklaya bilərdi. DELETE handler-i artıq admin_permission tələb edirdi ki, bu da zəif PUT avtorizasiyasının uyğunsuz olduğunu təsdiqləyirdi. Düzəliş eyni yalnız-administrator tələbini PUT handler-inə tətbiq edir. Bu problem 1.9.2 versiyasında aradan qaldırılıb.