CVE-2026-74878
KrytyczneCVSS 9.8Streszczenie
openssl_encrypt przed wersją 1.4.0 używa limitera szybkości w pamięci do ochrony przed brute-force TOTP, który nie jest współdzielony między procesami i ginie po restarcie serwera. Atakujący mogą rozłożyć próby uwierzytelnienia na wiele instancji serwera lub ponowić je natychmiast po restarcie, aby ominąć ochronę.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia skutecznych ataków brute-force na kody TOTP, co może prowadzić do nieautoryzowanego dostępu do kont użytkowników.
Rekomendacja
Zaleca się natychmiastową aktualizację openssl_encrypt do wersji 1.4.0 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt versions before 1.4.0 use an in-memory rate limiter for TOTP brute-force protection that is not shared across workers and is lost on server restart. Attackers can distribute authentication attempts across multiple server instances or retry immediately after a restart to bypass rate limiting protections.