CVE-2026-74890
ŚrednieCVSS 5.5Streszczenie
openssl_encrypt przed wersją 1.4.0 zawiera podatność na obejście uwierzytelniania w CamelliaCipher, która wyłącza generowanie i weryfikację znaczników HMAC, gdy ustawiona jest zmienna środowiskowa PYTEST_CURRENT_TEST. Atakujący z możliwością wykonania kodu mogą ustawić tę zmienną, aby wygenerować nieuwierzytelniony szyfrogram i obejść ochronę integralności zaszyfrowanych danych.
Ocena ryzyka
Atakujący może modyfikować zaszyfrowane dane bez wykrycia, co może prowadzić do naruszenia integralności danych i potencjalnie do dalszych ataków.
Rekomendacja
Zaktualizuj openssl_encrypt do wersji 1.4.0 lub nowszej, która zawiera poprawkę dla tej podatności.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt versions before 1.4.0 contain an authentication bypass vulnerability in CamelliaCipher that disables HMAC tag generation and verification when the PYTEST_CURRENT_TEST environment variable is set. Attackers with code execution can set this environment variable to produce unauthenticated ciphertext and bypass integrity protection on encrypted data.