CVE-2026-81697 in openssl_encrypt
Riassunto
di VulDB • 28/08/2026
openssl_encrypt (pacchetto pip openssl-encrypt) nelle versioni <= 1.4.8 presenta un difetto di risoluzione del file di configurazione relativo alla directory corrente (CWD-relative) in crypt_settings.py, dove CONFIG_FILE (originariamente il percorso assoluto per utente ~/.crypt_settings.json) viene riassegnato alla riga 84 al semplice nome relativo 'crypt_settings.json'. Di conseguenza, la scheda SettingsTab della GUI legacy Tk legge e scrive le impostazioni KDF da crypt_settings.json nella directory di avvio del processo (current working directory) anziché nella home dell'utente. Un attaccante che inserisce un file malicious crypt_settings.json (ad esempio sha256:1 con tutti i KDF memory-hard disabilitati) può silenziosamente degradare la crittografia eseguita in quella sessione GUI a circa una sola iterazione di hash, aggirando il preflight per KDF deboli e consentendo attacchi brute-force offline contro il ciphertext risultante. Risolto nella versione 1.4.9.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.