CVE-2026-71417

Nome do Software Vulnerável e Versões Afetadas Lemur versões anteriores a 1.9.3

Description Existe um problema onde um usuário que não seja apenas de leitura pode criar um registro duplicado através do endpoint 'POST /api/1/certificates/upload' ao usar outro corpo de certificado, authority id, serial ou external id sem a necessidade de permissão na autoridade subjacente. Subsequentemente, o endpoint 'PUT /api/1/certificates//revoke' autoriza o chamador apenas em relação ao registro selecionado, permitindo que o criador da duplicata ignore a CertificatePermission. Como a duplicata não possui cert.endpoints, ela também ignora as salvaguardas que impedem a revogação de certificados implantados. Isso permite que plugins de emissor revoguem o certificado real do lado da CA usando o certificate.body ou external id por meio de credenciais de autoridade armazenadas, podendo causar uma negação de serviço TLS em toda a frota.

Recommendations Atualizar para a versão 1.9.3.