CVE-2026-55164

Lemur, TLS sertifika oluşturmayı yönetir. 1.9.2 sürümünden önce, lemur.users.service.update, değiştirme parolasını doğrudan users.password alanına atıyordu; oysa lemur/users/models.py, User.hash_password yalnızca before_insert olayı için kaydediyordu. before_update dinleyicisi çalışmadığından, yönetici tarafından PUT /api/1/users/ üzerinden başlatılan parola değişiklikleri düz metin olarak kaydediliyordu. Etkilenen kullanıcı, bcrypt doğrulaması karma oluşturulmamış bir değer aldığından artık normal şekilde kimlik doğrulaması yapamıyordu. Veritabanı, yedek, replika, sorgu günlüğü veya yönetici okuma ihlali, çevrimdışı kırma olmadan hemen kullanılabilir kimlik bilgilerini açığa çıkarıyordu. Düzeltme, before_update için karma oluşturmayı kaydeder ve zaten bcrypt ön ekine sahip değerlerin yeniden karma oluşturulmasını önler. Bu sorun 1.9.2 sürümünde giderilmiştir.