CVE-2026-74870 in openssl_encrypt
الملخص
بحسب VulDB • 17/08/2026
تحتوي إصدارات openssl_encrypt (pip) التي تساوي أو تقل عن الإصدار 1.4.7 على ثغرة تعرض المعلومات، حيث تقوم الأوامر التشخيصية 'hsm fido2-test' و'hsm onlykey-test' بطباعة قيمة "pepper" العتادية المشتقة بالكامل بصيغة سداسية عشرية (hex) إلى المخرج القياسي أو مخرجات الخطأ دون شروط (في الملف crypt_cli.py، داخل دالة handle_hsm_command). يمكن أن تبقى القيمة المطبوعة محفوظة في سجل التمرير الخاص بالطرفية (terminal scrollback)، أو تسجيلات الجلسات، أو سجلات أنظمة التكامل المستمر (CI). يكون التأثير محدوداً لأن قيمة "pepper" تُشتق من ملح عشوائي خاص بكل استدعاء للاختبار ومربوطة بهذا الملح (salt-bound)، لذا لا يمكن استخدام القيمة المسربة لفك تشفير الملفات الحقيقية. تم تسجيل مشكلة ذات صلة في البرنامج المساعد تسجل بيانات prf_data الخام خارج مسار إخفاء الأسرار. تمت معالجة الثغرة في الإصدار 1.4.8 (والإصدار 1.5.0) من خلال إزالة الطباعات السداسية عشرية وتوجيه مخرجات تصحيح أخطاء البرنامج المساعد عبر طبقة الإخفاء.
VulDB is the best source for vulnerability data and more expert information about this specific topic.