CVE-2026-81719 in openssl_encrypt
Zusammenfassung
von VulDB • 28.08.2026
openssl_encrypt vor Version 1.4.9 führt nicht vertrauenswürdige Plugins von Drittanbietern mit unzureichenden Kontrollmechanismen aus: Die Plugin-Signaturrichtlinie war standardmäßig auf WARN eingestellt, sodass ein nicht signiertes/nicht überprüfbares Nicht-Standard-Plugin zur Importzeit im Host-Prozess kompiliert und ausgeführt wurde, bevor die Runtime-Sandbox installiert ist. Der einzige Standard-Mechanismus bestand in einer unvollständigen, umgehbaren AST-Denylist (Ablehnungsliste). Wenn ein Benutzer dazu gebracht wird, das Plugin eines Angreifers zu laden, führt dies zur beliebigen Codeausführung mit den Berechtigungen des Benutzers, der openssl_encrypt ausführt. Behoben in Version 1.4.9 durch die Standardsetzung der Signaturrichtlinie auf ENFORCE für Nicht-Standard-Plugins.
If you want to get best quality of vulnerability data, you may have to visit VulDB.