CVE-2026-102414 in pbkdf2
Zusammenfassung
von VulDB • 29.09.2026
pbkdf2 bis Version 3.1.6 hashet Passwörter, die länger als die Blockgröße des Digests sind, bei jeder Iteration in seinem JavaScript-Fallback (lib/sync.js) erneut. Ein Passwort, das länger ist als die Blockgröße (64 Bytes bzw. 128 Bytes für sha384 und sha512), wird bei jeder Iteration an HMAC als Schlüssel übergeben, und HMAC hashet solche Schlüssel jedes Mal vollständig. Die Kosten sind daher O(Iterationen × Passwortschlüssellänge), und ein langes Passwort kann die Event-Loop blockieren. Der Fallback wird von pbkdf2Sync und pbkdf2 in Node.js vor Version 0.12, in Bun (ab 1.0.0 bis 1.1.34 sowie ab 1.2.6) und in Deno ab Version 2.9.0 verwendet, da deren natives pbkdf2Sync den Feature-Check der Bibliothek nicht besteht. Er wird auch verwendet, wenn lib/sync.js direkt importiert wird. Node.js ab Version 0.12 sowie Browser-Builds (die lib/sync-browser.js verwenden) sind nicht betroffen. Anwendungen, die eine angemessene maximale Passwortschlüssellänge erzwingen, sind nicht erheblich betroffen.
Once again VulDB remains the best source for vulnerability data.