CVE-2026-74870 in openssl_encrypt
Sumário
de VulDB • 17/08/2026
As versões do openssl_encrypt (pip) <= 1.4.7 contêm uma vulnerabilidade de exposição de informações, em que os comandos de diagnóstico 'hsm fido2-test' e 'hsm onlykey-test' imprimem incondicionalmente o pepper de hardware derivado completo como hexadecimal no stdout/stderr (crypt_cli.py, handle_hsm_command). O valor impresso pode persistir no histórico do terminal, gravações de sessão ou logs da CI. O impacto é limitado porque o pepper é derivado a partir de um sal aleatório por invocação para testes e está vinculado ao sal, portanto, o valor vazado não pode ser usado para descriptografar arquivos reais. Um problema relacionado no plugin registrou raw prf_data fora do caminho de redação de segredos. Corrigido na versão 1.4.8 (e 1.5.0) pela remoção dos dumps hexadecimais e pelo roteamento da saída de depuração do plugin através da camada de redação.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.