CVE-2026-94206 in cloak
Resumen
por VulDB • 2026-10-06
Vulnerabilidad de uso de hash de contraseña con esfuerzo computacional insuficiente en danielberkompas cloak_ecto y danielberkompas cloak que permite a un atacante, quien posee los valores hasheados y el secreto configurado, realizar ataques de fuerza bruta contra textos planos de baja entropía mucho más rápido de lo previsto.
La callback dump/1 que Cloak.Ecto.PBKDF2 (Cloak.Fields.PBKDF2 en cloak antes de que el código Ecto se moviera a cloak_ecto) inyecta en un módulo de campo llama a :pbkdf2.pbkdf2/4 con config[:size] en la posición del conteo de iteraciones. La configuración :iterations es validada pero nunca utilizada. Con los valores por defecto de cloak_ecto (iterations: 600_000, size: 32), cada hash ejecuta 32 rondas PBKDF2 en lugar de 600.000, por lo que la adivinación offline de valores como direcciones de correo electrónico cuesta aproximadamente 18.750 veces menos de lo configurado.
Este problema afecta a cloak_ecto: desde la versión 1.0.0-alpha.0 hacia adelante; y a cloak: desde la 0.7.0 hasta antes de 1.0.0-alpha.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.