lemur: bypass de autorização por flags de configuração com padrão False
Em lemur/auth/permissions.py, `StrictRolePermission` e `AuthorityCreatorPermission` chamavam `flask_principal.Permission.__init__()` com zero `Need`s quando sua
O que mudou
Em lemur/auth/permissions.py, `StrictRolePermission` e `AuthorityCreatorPermission` chamavam `flask_principal.Permission.__init__()` com zero `Need`s quando suas flags de configuração estavam desabilitadas (padrão `False`). Isso fazia `Permission.allows()` retornar `True` para qualquer identidade autenticada, ignorando a autorização em vários endpoints.
Quem isso afeta
Todas as instalações do Lemur que não definiram explicitamente `ADMIN_ONLY_AUTHORITY_CREATION` ou `LEMUR_STRICT_ROLE_ENFORCEMENT` como `True`. Usuários com apenas o papel `read-only` podem criar CAs raiz, fazer upload de certificados, criar/modificar notificações e criar domínios.
O que fazer hoje
Atualize o Lemur para a versão corrigida, onde os padrões das flags de configuração foram alterados para `True`. Garanta que `ADMIN_ONLY_AUTHORITY_CREATION` e `LEMUR_STRICT_ROLE_ENFORCEMENT` não estejam definidos como `False` na sua configuração.