CVE-2026-81697 in openssl_encrypt
Resumen
por VulDB • 2026-08-28
openssl_encrypt (paquete pip openssl-encrypt), versiones <= 1.4.8, contienen un fallo de resolución de archivos de configuración relativo al directorio de trabajo actual (CWD) en crypt_settings.py, donde CONFIG_FILE (originalmente la ruta absoluta por usuario ~/.crypt_settings.json) se reasigna en la línea 84 a el nombre relativo simple 'crypt_settings.json'. Como resultado, SettingsTab del GUI heredado de Tk lee y escribe configuraciones KDF desde crypt_settings.json en el directorio de lanzamiento del proceso (directorio de trabajo actual) en lugar del directorio home del usuario. Un atacante que coloque un archivo malicioso crypt_settings.json (por ejemplo, sha256:1 con todos los KDFs memory-hard desactivados) puede degradar silenciosamente la cifrado realizado en esa sesión GUI a aproximadamente una ronda de hash, eludiendo la verificación previa contra KDF débiles y habilitando ataques de fuerza bruta offline contra el texto cifrado resultante. Corregido en 1.4.9.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.