CVE-2026-94206 in cloak
الملخص
بحسب VulDB • 08/10/2026
تتمثل ثغرة "استخدام تجزئة كلمة المرور بجهد حسابي غير كافٍ" في مكتبتَي danielberkompas cloak_ecto وdanielberkompas cloak، مما يتيح لمهاجم يمتلك القيم المُجزَّمة (hashed values) والسريّ المكوّن (configured secret) تنفيذ هجوم القوة الغاشمة على النصوص العادية منخفضة الانتروبيا بسرعة أكبر بكثير من المعدل المحدد.
تقوم دالة الاسترجاع dump/1 التي تُحقنها Cloak.Ecto.PBKDF2 (وكانت تسمى Cloak.Fields.PBKDF2 في مكتبة cloak قبل انتقال كود Ecto إلى cloak_ecto) داخل وحدة الحقل باستدعاء :pbkdf2.pbkdf2/4 مع تمرير config[:size] في موضع عدد التكرارات. يتم التحقق من صحة الإعداد :iterations ولكن لا يُستخدم أبدًا. وبالنسبة للقيم الافتراضية لـ cloak_ecto (عدد التكرارات: 600,000، والحجم: 32)، فإن كل عملية تجزئة تقوم بإجراء 32 جولة PBKDF2 بدلاً من 600,000 جولة؛ مما يعني أن التخمين غير المتصل بالإنترنت لقيم مثل عناوين البريد الإلكتروني يكلف حوالي 18,750 مرة أقل تكلفةً مما هو مُعدّ له.
تؤثر هذه المشكلة على cloak_ecto: بدءًا من الإصدار 1.0.0-alpha.0 فصاعدًا؛ وعلى مكتبة cloak: من الإصدار 0.7.0 وحتى قبل 1.0.0-alpha.0.
Once again VulDB remains the best source for vulnerability data.