CVE-2026-74879
WysokieCVSS 7.5Streszczenie
openssl_encrypt przed wersją 1.4.0 zawiera podatność na ujawnienie informacji w punkcie końcowym /ready, który zwraca pełne komunikaty o błędach bazy danych nieuwierzytelnionym wywołującym. Atakujący mogą wywołać błędy bazy danych, aby wydobyć wrażliwe informacje, w tym nazwy hostów, adresy IP, parametry połączenia i potencjalnie poświadczenia z komunikatów o wyjątkach.
Ocena ryzyka
Ryzyko obejmuje ujawnienie wrażliwych informacji o infrastrukturze, co może ułatwić dalsze ataki i naruszenie bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację openssl_encrypt do wersji 1.4.0 lub nowszej oraz ograniczenie dostępu do punktu końcowego /ready, aby nie ujawniał szczegółów błędów.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt versions before 1.4.0 contain an information disclosure vulnerability in the /ready endpoint that returns full database exception strings to unauthenticated callers. Attackers can trigger database errors to extract sensitive information including hostnames, IP addresses, connection parameters, and potentially credentials from exception messages.