CVE-2026-81688
WysokieCVSS 7.5Streszczenie
openssl_encrypt przed wersją 1.4.9 przechowuje niezaszyfrowany hash SHA-256 tekstu jawnego w nagłówku pliku. Atakujący bez hasła może odczytać ten hash, aby potwierdzić zgadywane teksty jawne offline lub identyfikować identyczne teksty jawne w różnych zaszyfrowanych plikach.
Ocena ryzyka
Ujawnienie hashów tekstu jawnego może prowadzić do odgadnięcia zawartości zaszyfrowanych danych, co narusza poufność informacji.
Rekomendacja
Zaktualizuj openssl_encrypt do wersji 1.4.9 lub nowszej, która nie przechowuje już tego hasha w nagłówku.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt versions before 1.4.9 store an unkeyed SHA-256 hash of the plaintext in the cleartext file header metadata. Attackers can read this hash without the password to confirm guessed plaintexts offline or fingerprint identical plaintexts across separately-encrypted files.