CVE-2026-81698
WysokieCVSS 7.5Streszczenie
openssl_encrypt przed wersją 1.4.9 zawiera podatność na wstrzykiwanie poleceń w poleceniu info, gdzie niezaufane pola metadanych są interpolowane bez cudzysłowów. Atakujący mogą spreparować wartości metadanych, takie jak pepper_name, zawierające polecenia powłoki, które wykonają się po skopiowaniu wydrukowanego bloku CLI do powłoki.
Ocena ryzyka
Użytkownik może przypadkowo wykonać złośliwe polecenia, co prowadzi do przejęcia kontroli nad systemem lub utraty danych.
Rekomendacja
Zaktualizuj openssl_encrypt do wersji 1.4.9 lub nowszej, która poprawnie cytuje pola metadanych.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt versions before 1.4.9 contain a shell injection vulnerability in the info command's reconstructed CLI block that interpolates untrusted metadata fields without quoting. Attackers can craft metadata values like pepper_name containing shell commands that execute when users copy the printed CLI block into a shell.