CVE-2026-74876
KrytyczneCVSS 9.8Streszczenie
openssl_encrypt przed wersją 1.4.0 zawiera podatność w metodzie PublicKeyBundle.from_dict(), która tworzy pakiety kluczy z niezaufanych danych bez weryfikacji podpisów. Atakujący mogą wywołać from_dict() i następnie to_identity() bez weryfikacji podpisu, aby szyfrować dane przy użyciu kluczy publicznych kontrolowanych przez atakującego, co prowadzi do wycieku tajemnic.
Ocena ryzyka
Ryzyko polega na możliwości przechwycenia poufnych danych poprzez zaszyfrowanie ich kluczem publicznym atakującego, co umożliwia mu odczytanie ich po deszyfrowaniu.
Rekomendacja
Zaleca się aktualizację openssl_encrypt do wersji 1.4.0 lub nowszej, która weryfikuje podpisy podczas tworzenia pakietów kluczy.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt versions before 1.4.0 contain a vulnerability in PublicKeyBundle.from_dict() that creates key bundles from untrusted data without verifying signatures. Attackers can call from_dict() followed by to_identity() without signature verification to encrypt data using attacker-controlled public keys, leaking secrets.