CVE-2026-71303

Nome do Software Vulnerável e Versões Afetadas Lemur versões anteriores a 1.9.3

Description Existe um problema onde a função validate acme url não aplica a ACME DIRECTORY HOST ALLOWLIST ao atualizar as opções de autoridade através do endpoint 'PUT /api/1/authorities/'. Um usuário com função de autoridade pode substituir a acme url armazenada por uma URL de serviço interno ou de metadados de instância, como 169.254.169.254. Operações de emissão subsequentes passam esse valor para ClientV2.get directory(), desencadeando uma requisição externa a partir do backend que pode expor serviços internos ou metadados de nuvem.

Recommendations Atualizar para a versão 1.9.3.