CVE-2026-71317

Nome do Software Vulnerável e Versões Afetadas Lemur versões anteriores a 1.9.3

Description Existe um problema no processo de criação de certificados TLS onde o endpoint "/api/1/authorities" não verifica adequadamente as permissões quando o parâmetro type é definido como subca e ADMIN ONLY AUTHORITY CREATION é falso. O AssociatedAuthoritySchema resolve a autoridade pai fornecida pelo chamador e a passa para o cryptography-issuer, que utiliza a authority certificate.private key da autoridade pai para assinar um novo certificado intermediário. Isso permite que qualquer usuário autenticado com permissões além de apenas leitura encadeie uma sub-CA a uma raiz interna sem possuir a função necessária, permitindo a emissão de certificados confiáveis e o uso da chave privada fora do sistema para ignorar os controles de emissão.

Recommendations Atualizar para a versão 1.9.3.