CVE-2026-55164

Lemur TLS sertifikatlarının yaradılmasını idarə edir. Versiya 1.9.2-dək lemur.users.service.update əvəzləyici şifrəni birbaşa users.password hissəsinə təyin edirdi, lakin lemur/users/models.py faylı User.hash_password funksiyasını yalnız before_insert hadisəsi üçün qeydiyyata almışdı. Heç bir before_update dinləyicisi işləmədikdə, administrator tərəfindən PUT /api/1/users/ vasitəsilə həyata keçirilən şifrə dəyişiklikləri açıq mətn formatında yadda saxlanılırdı. Təsirə məruz qalan istifadəçi artıq normal şəkildə autentifikasiya ola bilmirdi, çünki bcrypt yoxlaması heşlənməmiş dəyər alırdı. Verilənlər bazasının, ehtiyat nüsxənin, replikanın, sorğu loqunun və ya inzibati oxuma hücumunun baş verməsi, oflayn sındırma prosesi olmadan dərhal istifadə edilə bilən etibarlılıq məlumatlarını üzə çıxarırdı. Düzəliş, heşləməni before_update üçün qeydiyyatdan keçirir və artıq bcrypt prefiksi olan dəyərlərin yenidən heşlənməsinin qarşısını alır. Bu problem 1.9.2 versiyasında aradan qaldırılmışdır.