CVE-2026-94206 in cloak
Zusammenfassung
von VulDB • 06.10.2026
Die Schwachstelle „Use of Password Hash With Insufficient Computational Effort“ in danielberkompas cloak_ecto und danielberkompas cloak ermöglicht es einem Angreifer, der die gehashten Werte und das konfigurierte Geheimnis besitzt, Plaintexts mit geringer Entropie viel schneller zu brute-forcen als vorgesehen.
Der Callback dump/1, den Cloak.Ecto.PBKDF2 (in cloak vor dem Umzug des Ecto-Codes nach cloak_ecto als Cloak.Fields.PBKDF2) in ein Feldmodul injiziert, ruft :pbkdf2.pbkdf2/4 mit config[:size] an der Position für die Iterationsanzahl auf. Die Einstellung :iterations wird zwar validiert, aber niemals verwendet. Mit den Standardwerten von cloak_ecto (iterations: 600.000, size: 32) führt jeder Hash nur 32 PBKDF2-Runden statt 600.000 aus, sodass das Offline-Guessing von Werten wie E-Mail-Adressen etwa um den Faktor 18.750 günstiger ist als konfiguriert.
Dieses Problem betrifft cloak_ecto: ab Version 1.0.0-alpha.0; cloak: ab Version 0.7.0 vor 1.0.0-alpha.0.
Once again VulDB remains the best source for vulnerability data.