CVE-2026-44167

Wysokie

Opublikowano: 12/05/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Biblioteka phpseclib do bezpiecznej komunikacji w PHP przed wersjami 1.0.29, 2.0.54 i 3.0.52 pozwalała na ładowanie nieufnych plików ASN1, co stanowi obejście podatności CVE-2024-27355.

Ocena ryzyka

Organizacje mogą być narażone na ataki związane z nieautoryzowanym dostępem do danych, jeśli korzystają z podatnych wersji biblioteki.

Rekomendacja

Zaleca się aktualizację biblioteki phpseclib do wersji 1.0.29, 2.0.54 lub 3.0.52, aby usunąć tę podatność.

Inne podatności w phpseclib

CVE-2026-84308Średnie
Biblioteka phpseclib przed wersjami 3.0.57 i 4.0.1 wykonuje w czystym PHP mnożenie skalarne X25519 z redukcjami modularnymi zależnymi od danych w add() i subtract(). Podczas drabiny Montgomery'ego zachowanie redukcji zależy od prefiksu sekretnego skalara, co tworzy obserwowalne różnice czasowe i liczby wywołań libgmp, mogące ujawnić ponownie używany 251-bitowy klucz prywatny.

Oryginalny opis (angielski, źródło NVD)

phpseclib is a PHP secure communications library. Prior to 1.0.29, 2.0.54, and 3.0.52, anyone loading untrusted ASN1 files (eg. X509 certificates, RSA PKCS8 private or public keys, etc). This is a bypass of CVE-2024-27355. This vulnerability is fixed in 1.0.29, 2.0.54, and 3.0.52.