CVE-2026-74892
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
openssl_encrypt przed wersją 1.4.0 zawiera zakodowany na stałe domyślny sekretny klucz w konfiguracji samodzielnego serwera telemetrii, używany do haszowania kluczy API. Atakujący, którzy znają tę domyślną wartość, mogą przewidzieć lub sfałszować hasze kluczy API, aby naruszyć uwierzytelnianie API telemetrii.
Ocena ryzyka
Ryzyko polega na możliwości naruszenia uwierzytelniania API telemetrii, co może prowadzić do nieautoryzowanego dostępu do danych telemetrycznych lub manipulacji nimi.
Rekomendacja
Zaleca się aktualizację openssl_encrypt do wersji 1.4.0 lub nowszej oraz zmianę domyślnego klucza na unikalną wartość.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt versions before 1.4.0 contain a hardcoded default secret key in the standalone telemetry server configuration that is used for API key hashing. Attackers who know this default value can predict or forge API key hashes to compromise telemetry API authentication.