CVE-2026-81719
WysokieCVSS 7.8Streszczenie
openssl_encrypt przed wersją 1.4.9 wykonuje niezaufane pluginy stron trzecich z niewystarczającymi kontrolami: domyślna polityka podpisu to WARN, więc niepodpisany lub niezweryfikowany plugin nie wbudowany jest kompilowany i wykonywany w procesie gospodarza w czasie importu, przed zainstalowaniem sandboxa. Jedyną domyślną barierą była niekompletna, możliwa do obejścia lista zabronionych AST. Jeśli użytkownik zostanie nakłoniony do załadowania pluginu atakującego, może to prowadzić do wykonania dowolnego kodu z uprawnieniami użytkownika.
Ocena ryzyka
Atakujący może wykonać dowolny kod w kontekście użytkownika, co może prowadzić do pełnego przejęcia systemu lub kradzieży danych.
Rekomendacja
Zaktualizuj openssl_encrypt do wersji 1.4.9, która domyślnie egzekwuje politykę podpisu dla pluginów nie wbudowanych.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt before 1.4.9 executes untrusted third-party plugins with insufficient controls: the plugin signature policy defaulted to WARN, so an unsigned/unverifiable non-built-in plugin was compiled and executed in the host process at import time, before the runtime sandbox is installed. The only default gate was an incomplete, bypassable AST denylist. If a user is induced to load an attacker's plugin, this results in arbitrary code execution with the privileges of the user running openssl_encrypt. Fixed in 1.4.9 by defaulting the signature policy to ENFORCE for non-built-in plugins.