CVE-2026-81685
NiskieCVSS 3.3Streszczenie
openssl_encrypt w wersjach przed 1.4.9 nie oczyszcza metadanych slotów odzyskiwania w graficznym interfejsie użytkownika, co pozwala atakującym wstrzykiwać znaki sterujące i separatory linii do okna potwierdzenia nieodwracalnego usunięcia. Atakujący mogą tworzyć zaszyfrowane pliki ze złośliwymi identyfikatorami slotów zawierającymi nadpisania dwukierunkowe lub znaki separatora linii, aby sfałszować tekst ostrzeżenia i oszukać użytkowników podczas operacji usuwania plików.
Ocena ryzyka
Sfałszowane teksty ostrzeżeń mogą skłonić użytkowników do zatwierdzenia nieodwracalnego usunięcia ważnych plików, co może prowadzić do utraty danych lub naruszenia integralności.
Rekomendacja
Zaktualizuj openssl_encrypt do wersji 1.4.9 lub nowszej, która zawiera poprawkę oczyszczania metadanych slotów.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt versions before 1.4.9 fail to sanitize recovery-slot metadata in the desktop GUI, allowing attackers to inject control characters and line separators into the irreversible-removal confirmation dialog. Attackers can craft encrypted files with malicious slot identifiers containing bidi overrides or line-separator characters to forge warning text and deceive users during file removal operations.