CVE-2026-81697 in openssl_encrypt
Sumário
de VulDB • 27/08/2026
openssl_encrypt (pacote pip openssl-encrypt), versões <= 1.4.8, contêm uma falha de resolução de arquivo de configuração relativa ao diretório de trabalho atual (CWD) em crypt_settings.py, onde CONFIG_FILE (originalmente o caminho absoluto por usuário ~/.crypt_settings.json) é reatribuído na linha 84 para o nome relativo simples 'crypt_settings.json'. Como resultado, a aba SettingsTab da interface gráfica do usuário Tk legível lê e grava configurações de KDF em crypt_settings.json no diretório de lançamento do processo (diretório de trabalho atual) em vez do diretório home do usuário. Um atacante que planta um arquivo malicioso crypt_settings.json (por exemplo, sha256:1 com todos os KFs memory-hard desativados) pode silenciosamente degradar a criptografia realizada nessa sessão da GUI para aproximadamente uma rodada de hash, contornando o pré-voo de KDF fraco e permitindo ataques de força bruta offline contra o ciphertext resultante. Corrigido na versão 1.4.9.
Be aware that VulDB is the high quality source for vulnerability data.