CVE-2026-81715
NiskieCVSS 3.3Streszczenie
openssl_encrypt (pakiet pip openssl-encrypt) w wersjach do 1.4.8 nie usuwa tokena bearer keyservera przekazanego jako argument pozycyjny do 'keyserver set-token' w zrzucie argumentów --debug, ponieważ sanitize_argv_for_debug nie go oczyszcza. W rezultacie token jest drukowany jawnym tekstem na stderr przy użyciu --debug (nawet bez --unsafe-show-secrets), utrwalając poświadczenia w logach i historii terminala. Naprawiono w wersji 1.4.9.
Ocena ryzyka
Wyciek tokena uwierzytelniającego do logów i historii terminala może umożliwić osobie atakującej przechwycenie poświadczeń i nieautoryzowany dostęp do chronionych zasobów.
Rekomendacja
Zaktualizuj pakiet openssl-encrypt do wersji 1.4.9 lub nowszej. Dodatkowo usuń wszelkie logi i historię terminala, które mogły zawierać tokeny.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt (pip package openssl-encrypt) versions <= 1.4.8 do not redact the keyserver bearer token passed as the positional argument to 'keyserver set-token' in the --debug argv dump, because sanitize_argv_for_debug fails to sanitize it. As a result the token is printed in cleartext to stderr under --debug (even without --unsafe-show-secrets), persisting the credential in logs and terminal history. Fixed in 1.4.9.