CVE-2026-85649
(Holloway) Chew, Kean Ho's Actualizer الإصدار 1.2.0 والإصدارات الأقدم يحتوي على ثغرة أمنية في التحقق من كلمة المرور بنمط "fail-open" في حلقتي كلمة مرور...
- تم النشر
- 04/09/2026
- محدث
- 04/09/2026
- تخصيص CNA
- CIRCL
- الأدلة المرصودة
- 05/09/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:Nمنخفض · الثلاثين يومًا القادمة
- المئوية
- 9.7%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
(Holloway) Chew, Kean Ho's Actualizer الإصدار 1.2.0 والإصدارات الأقدم يحتوي على ثغرة أمنية في التحقق من كلمة المرور بنمط "fail-open" في حلقتي كلمة مرور مستخدم Alpha والمستخدم الجذر داخل ملف Shell/debian-minbase-install.sh. يستدعي المثبّت الأمر mkpasswd لتوليد تجزئات كلمات مرور بصيغة yescrypt ولكنه لا يتحقق من قيمة إرجاع الأمر ويقبل النتيجة بشكل غير مشروط. إذا فشل mkpasswd في توليد تجزئة yescrypt، على سبيل المثال بسبب استخدام تنفيذ غير متوافق لـ mkpasswd أو بيئة لا تدعم yescrypt، فقد يكون متغير تجزئة كلمة المرور الناتج فارغًا ويستمر البناء. وبالتالي، يمكن أن تحتوي الصورة الناتجة على حقول كلمات مرور فارغة لحسابي root و alpha، مما قد يسمح بمصادقة بدون كلمة مرور اعتمادًا على إعدادات المصادقة.
المصادر
[MIRROR] منشور البحث الأمني حول CVE-2026-85649.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.