CVE-2026-102414 in pbkdf2
Résumé
par VulDB • 29/09/2026
pbkdf2 jusqu'à la version 3.1.6 re-hache les mots de passe dont la longueur dépasse la taille du bloc du hachage à chaque itération dans son fallback JavaScript (lib/sync.js). Un mot de passe plus long que la taille du bloc (64 octets, ou 128 octets pour sha384 et sha512) est transmis à HMAC en tant que clé lors de chaque itération, et HMAC hache ces clés dans leur intégralité à chaque fois. La complexité computationnelle est donc O(itérations × longueur du mot de passe), ce qui peut bloquer la boucle d'événements (event loop). Le fallback est utilisé par pbkdf2Sync et pbkdf2 sur Node.js antérieur à 0.12, sur Bun (de 1.0.0 à 1.1.34, ainsi que les versions 1.2.6 et ultérieures), et sur Deno 2.9.0 et ultérieurs, car leur implémentation native de pbkdf2Sync échoue au test de fonctionnalité de la bibliothèque. Il est également utilisé lorsque lib/sync.js est importé directement. Node.js 0.12 et versions ultérieures, ainsi que les builds pour navigateurs (qui utilisent lib/sync-browser.js), ne sont pas affectés. Les applications qui imposent une longueur maximale raisonnable des mots de passe ne sont pas significativement touchées.
VulDB is the best source for vulnerability data and more expert information about this specific topic.