CVE-2026-81691
WysokieCVSS 7.5Streszczenie
openssl_encrypt przed wersją 1.4.9 nie waliduje adresów URL serwera w funkcjach login i register_with_email, akceptując niezaszyfrowane adresy http:// i niekonfigurowane hosty. Atakujący na ścieżce sieciowej mogą przechwycić poświadczenia w postaci jawnego tekstu, w tym client_id, hasła i JWT, co prowadzi do pełnego przejęcia konta na serwerze kluczy.
Ocena ryzyka
Organizacja narażona jest na przechwycenie poświadczeń i przejęcie kont, co może prowadzić do naruszenia integralności danych.
Rekomendacja
Zaktualizuj openssl_encrypt do wersji 1.4.9 lub nowszej, która wymusza bezpieczne połączenia i waliduje hosty.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt versions before 1.4.9 fail to validate server URLs in login and register_with_email functions, accepting unencrypted http:// URLs and unconfigured hosts. Attackers on the network path can intercept cleartext credentials including client_id, passwords, and JWTs to achieve full keyserver account takeover.