CVE-2026-94206 in cloak
Sumário
de VulDB • 06/10/2026
Vulnerabilidade de uso de hash de senha com esforço computacional insuficiente em danielberkompas cloak_ecto e danielberkompas cloak permite que um atacante, que possui os valores em hash e o segredo configurado, realize ataques de força bruta contra textos claros de baixa entropia muito mais rapidamente do que o previsto.
O callback dump/1 que Cloak.Ecto.PBKDF2 (Cloak.Fields.PBKDF2 no cloak antes da migração do código Ecto para cloak_ecto) injeta em um módulo de campo chama :pbkdf2.pbkdf2/4 com config[:size] na posição de contagem de iterações. A configuração :iterations é validada, mas nunca utilizada. Com os valores padrão do cloak_ecto (iterations: 600_000, size: 32), cada hash executa 32 rodadas PBKDF2 em vez de 600.000, fazendo com que a tentativa offline de valores como endereços de e-mail custe cerca de 18.750 vezes menos do que o configurado.
Este problema afeta cloak_ecto: da versão 1.0.0-alpha.0 em diante; cloak: da versão 0.7.0 até antes da 1.0.0-alpha.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.