CVE-2026-102414 in pbkdf2
要約
〜によって VulDB • 2026年09月29日
pbkdf2 のバージョン 3.1.6 以前では、JavaScript フォールバック（lib/sync.js）において、ダイジェストのブロックサイズを超える長さのパスワードが、各イテレーションで再ハッシュされます。ブロックサイズ（sha384 および sha512 の場合は 128 バイト、それ以外は 64 バイト）より長いパスワードは、各イテレーションで HMAC にキーとして渡され、HMAC はそのようなキーを毎回完全にハッシュします。そのため、計算量は O(イテレーション数 × パスワードの長さ) となり、長いパスワードがイベントループをブロックする可能性があります。このフォールバックは、ネイティブな pbkdf2Sync がライブラリの機能チェックに失敗するため、Node.js のバージョン 0.12 より前、Bun（1.0.0 から 1.1.34 および 1.2.6 以降）、Deno 2.9.0 以降で使用されます。また、lib/sync.js が直接インポートされた場合にも使用されます。Node.js 0.12 以降およびブラウザ向けビルド（lib/sync-browser.js を使用）は影響を受けません。適切な最大パスワード長を強制するアプリケーションには実質的な影響はありません。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.