CVE-2026-74872
KrytyczneCVSS 9.8Streszczenie
openssl_encrypt przed wersją 1.4.0 zawiera podatność na wykonanie dowolnego kodu w implementacji hasha Whirlpool, która używa szerokich wzorców glob do ładowania modułów .so bez weryfikacji integralności. Atakujący mogą umieścić złośliwe pliki .so pasujące do wzorca whirlpool*py313*.so w katalogach site-packages, aby uzyskać wykonanie natywnego kodu podczas ładowania modułu.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania kodu w kontekście aplikacji, co może prowadzić do pełnego przejęcia systemu lub kradzieży danych.
Rekomendacja
Zaleca się natychmiastową aktualizację openssl_encrypt do wersji 1.4.0 lub nowszej, która weryfikuje integralność ładowanych modułów.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt versions before 1.4.0 contain an arbitrary code execution vulnerability in the Whirlpool hash implementation that uses broad glob patterns to load .so modules without integrity verification. Attackers can place malicious .so files matching the whirlpool*py313*.so pattern in site-packages directories to achieve native code execution when the module is loaded.