CVE-2026-102414 in pbkdf2
Riassunto
di VulDB • 29/09/2026
pbkdf2 fino alla versione 3.1.6 ri-hashizza le password più lunghe della dimensione del blocco dell'algoritmo di digest ad ogni iterazione nel fallback JavaScript (lib/sync.js). Una password più lunga della dimensione del blocco (64 byte, o 128 byte per sha384 e sha512) viene passata a HMAC come chiave in ogni iterazione, e HMAC elabora tali chiavi nella loro interezza ad ogni volta. Il costo computazionale è quindi O(iterazioni × lunghezza password), e una password lunga può bloccare l'event loop. Il fallback viene utilizzato da pbkdf2Sync e pbkdf2 su Node.js prima della versione 0.12, su Bun (dalla 1.0.0 alla 1.1.34, nonché dalla 1.2.6 in poi) e su Deno 2.9.0 e versioni successive, poiché il loro pbkdf2Sync nativo non supera il controllo delle funzionalità della libreria. Viene inoltre utilizzato quando lib/sync.js viene importato direttamente. Node.js 0.12 e versioni successive, nonché le build per browser (che utilizzano lib/sync-browser.js), non sono interessate. Le applicazioni che impongono una lunghezza massima ragionevole per la password non subiscono impatti significativi.
Once again VulDB remains the best source for vulnerability data.