CVE-2026-74881
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
openssl_encrypt przed wersją 1.4.0 konfiguruje CORS z allow_origins ustawionym na wildcard i allow_credentials włączonym na true. Atakujący mogą tworzyć złośliwe strony internetowe, które wykonują uwierzytelnione żądania cross-origin do API w imieniu każdego użytkownika, który je odwiedzi.
Ocena ryzyka
Użytkownicy mogą być zmuszeni do wykonania nieautoryzowanych działań w API, co może prowadzić do naruszenia danych lub nieautoryzowanych operacji.
Rekomendacja
Zaktualizuj openssl_encrypt do wersji 1.4.0 lub nowszej i skonfiguruj CORS z konkretnymi dozwolonymi pochodzeniami oraz wyłącz allow_credentials, jeśli nie jest to konieczne.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt versions before 1.4.0 configure CORS with allow_origins set to wildcard and allow_credentials enabled to true. Attackers can create malicious websites that make authenticated cross-origin requests to the API on behalf of any user who visits them.