CVE-2026-74894
KrytyczneCVSS 9.8Streszczenie
openssl_encrypt przed wersją 1.4.0 zawiera podatność na ominięcie uwierzytelniania w funkcji verify_api_token, która akceptuje dowolny niepusty token Bearer bez weryfikacji. Atakujący mogą przesyłać dowolne klucze publiczne, wyliczać wszystkie klucze i odwoływać klucze należące do dowolnego użytkownika, podając dowolny token Bearer w nagłówku Authorization.
Ocena ryzyka
Ryzyko polega na tym, że nieautoryzowani użytkownicy mogą manipulować kluczami publicznymi, co może prowadzić do naruszenia integralności systemu kluczy i dostępności usług.
Rekomendacja
Należy natychmiast zaktualizować openssl_encrypt do wersji 1.4.0 lub nowszej, aby naprawić weryfikację tokenów.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt before 1.4.0 contains an authentication bypass vulnerability in the verify_api_token function that accepts any non-empty Bearer token string without validation. Attackers can upload arbitrary public keys, enumerate all keys, and revoke keys belonging to any user by providing any Bearer token in the Authorization header.