CVE-2026-74888

7.5 Élevée

Publiée le 17/08/2026 à 13:16 · Modifiée le 01/09/2026 à 17:26 · Analysée par le NVD · Source : disclosure@vulncheck.com

Description

openssl_encrypt versions before 1.4.0 use a non-standard PBKDF2 key derivation construction with iterations=1 per call in an outer loop, creating a KDF whose security properties have not been formally analyzed. Attackers can exploit this weakened key derivation to more efficiently crack passwords protecting legacy encrypted files compared to standard PBKDF2 implementations.

Traduire en français

Produits concernés

Scores CVSS

Version	Score	Source	Vecteur
4.0	8.7 Élevée	disclosure@vulncheck.com	`CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X`
3.1	7.5 Élevée	disclosure@vulncheck.com	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N`

Faiblesses (CWE)

CWE-327

Références

https://github.com/jahlives/openssl_encrypt/security/advisories/GHSA-743f-89fg-x288 Vendor Advisory
https://www.vulncheck.com/advisories/openssl-encrypt-before-non-standard-pbkdf2-key-derivation Third Party Advisory

CVE-2026-74888

Description

Produits concernés

Scores CVSS

Faiblesses (CWE)

Références

Ailleurs