CVE-2026-74875
KrytyczneCVSS 9.8Streszczenie
openssl_encrypt przed wersją 1.4.0 po cichu pomija walidację schematu JSON, gdy biblioteka jsonschema nie jest zainstalowana, co pozwala na akceptowanie nieprawidłowych metadanych. Atakujący mogą usunąć pakiet jsonschema lub dostarczyć nieznane wersje formatu metadanych, aby ominąć wszystkie kontrole schematu i przetwarzać złośliwe dane.
Ocena ryzyka
Ryzyko polega na możliwości przetwarzania złośliwych danych, które mogą prowadzić do nieoczekiwanych zachowań systemu lub dalszych ataków.
Rekomendacja
Zaleca się aktualizację openssl_encrypt do wersji 1.4.0 lub nowszej, która wymaga walidacji schematu lub jawnie zgłasza błąd przy braku biblioteki jsonschema.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt versions before 1.4.0 silently skip JSON schema validation when the jsonschema library is not installed, allowing malformed metadata to be accepted. Attackers can remove the jsonschema package or supply unknown metadata format versions to bypass all schema checks and process malicious data.