CVE-2026-48508

Lemur, TLS sertifika oluşturmayı yönetir. 1.9.1 sürümünden önce, ADMIN_ONLY_AUTHORITY_CREATION ve LEMUR_STRICT_ROLE_ENFORCEMENT ayarlanmadığında, her iki bayrak da varsayılan olarak False olduğundan, lemur/auth/permissions.py içindeki StrictRolePermission ve AuthorityCreatorPermission, flask_principal.Permission.__init__() işlevini sıfır Need nesnesiyle çağırır. Flask-Principal Permission.allows(), self.needs boş olduğunda True döndürür; bu nedenle .can() yetkilendirme kapısı, salt okunur rol de dahil olmak üzere her kimliği doğrulanmış kimliğe izin verir. Salt okunur bir kullanıcı, kök Sertifika Yetkilileri oluşturmak, rastgele sertifikalar yüklemek, bir SSRF hedefine ulaşan bildirimler oluşturmak veya düzenlemek ve alan adı girdileri oluşturmak için POST /api/1/authorities, POST /api/1/certificates/upload, POST /api/1/pending_certificates//upload, POST /api/1/notifications, PUT veya DELETE /api/1/notifications/ ve POST /api/1/domains uç noktalarına erişebilir. Bayraklardan herhangi birinin açıkça False olarak ayarlanması, izin verici davranışı benimsemeye devam eder. Bu sorun 1.9.1 sürümünde düzeltilmiştir.