База данных уязвимостей CVE

В версиях openssl_encrypt до 1.4.0 используется HKDF без параметра соли и статической информации в ключевых функциях нормализации, что снижает извлечение энтропии и детерминизм. Злоумышленники могут использовать предсказуемое получение ключей с …

В версиях openssl_encrypt до 1.4.0 используется нестандартная конструкция получения ключа PBKDF2 с итерациями = 1 на вызов во внешнем цикле, создавая KDF, свойства безопасности которого формально не анализировались. Злоумышленники могут …

openssl_encrypt до версии 1.4.0 импортирует некриптографический «случайный» модуль Python (Mersenne Twister PRNG) в строке 15 файла openssl_encrypt/modules/pqc.py. В коде не было прямых вызовов метода random.*, поэтому на данный момент никакие …

Версии openssl_encrypt до 1.4.0 содержат уязвимость обхода песочницы плагина, при которой PluginImportGuard блокирует набор модулей, отличный от набора DANGEROUS_MODULES анализатора AST. Злоумышленники могут обойти анализ AST посредством обфускации или кодирования …

Версии openssl_encrypt до 1.4.0 содержат ошибку журналирования в restorate_hidden_modules(), которая регистрирует количество модулей после очистки, всегда показывая ноль восстановленных модулей и повреждая контрольные журналы. Кроме того, между скрытием модуля и …

Версии openssl_encrypt до 1.4.0 содержат уязвимость обхода пути в методе _is_safe_path, из-за которой параметр плагина_id не очищается перед созданием пути к каталогу конфигурации плагина. Злоумышленники могут объявить вредоносный идентификатор плагина, …

Версии openssl_encrypt до 1.4.0 содержат уязвимость обхода песочницы, из-за которой песочница плагина не может ограничить альтернативные методы доступа к файлам, такие как pathlib.Path и io.open. Злоумышленники могут импортировать модули pathlib …

Версии openssl_encrypt до 1.4.0 содержат небезопасную конфигурацию по умолчанию, которая доверяет всему частному адресному пространству RFC 1918 в IntegrityProxyConfigtrusted_proxies. Злоумышленники в частных сетях могут подделать заголовки сертификатов клиентов, чтобы обойти …

В версиях openssl_encrypt до 1.4.0 настройте CORS с параметромallow_origins, установленным на подстановочный знак, и параметромallow_credentials, включенным в значение true. Злоумышленники могут создавать вредоносные веб-сайты, которые отправляют аутентифицированные запросы к API …

Версии openssl_encrypt до 1.4.0 принимают токены обновления в качестве параметров запроса URL-адреса в маршрутах сервера ключей и сервера телеметрии. Злоумышленники могут извлекать токены из журналов серверов, журналов прокси, истории браузера …