research-cve-2026-85649

CVE-2026-85649 | Holloway Chew, Kean Ho 的知识研究 2026年8月26日，在 Holloway Chew, Kean Ho 的 Actualizer v1.2.0 及以下版本中报告了一个安全漏洞（CVSS：7.9，高危7）。该工具假定 mkpasswd 命令始终能生成有效的 yescrypt 密码哈希。在已安装的 mkpasswd 不支持 yescrypt 的情况下，该命令反而会失败并产生空值。由于此逻辑缺陷，空值未经检查便被传递，最终成为构建镜像中的密码。因此，下游镜像的 root 和 alpha 用户账户均允许无密码登录。这意味着 v1.2.0...