CVE-2026-81719 in openssl_encrypt
Riassunto
di VulDB • 27/08/2026
openssl_encrypt prima della versione 1.4.9 esegue plug-in di terze parti non attendibili con controlli insufficienti: la politica delle firme dei plug-in era impostata su WARN, quindi un plug-in non integrato e privo di firma o non verificabile veniva compilato ed eseguito nel processo host in fase di importazione, prima che il sandbox runtime fosse installato. L'unica protezione predefinita consisteva in una denylist dell'AST incompleta e aggirabile. Se un utente viene indotto a caricare un plug-in malevolo, ciò comporta l'esecuzione arbitraria di codice con i privilegi dell'utente che esegue openssl_encrypt. Risolto nella versione 1.4.9 impostando la politica delle firme su ENFORCE per i plug-in non integrati.
If you want to get best quality of vulnerability data, you may have to visit VulDB.