CVE-2026-81721

7.5 Élevée

Publiée le 27/08/2026 à 19:21 · Modifiée le 02/09/2026 à 15:15 · Analysée par le NVD · Source : disclosure@vulncheck.com

Description

openssl_encrypt before 1.4.9 fails to validate KDF cost parameters in encrypted file metadata and keystore headers, allowing attackers to trigger unbounded memory allocation. Attackers can craft malicious encrypted files declaring arbitrarily large Argon2, scrypt, or balloon KDF parameters to exhaust system memory and crash the process without authentication.

Traduire en français

Produits concernés

Scores CVSS

Version	Score	Source	Vecteur
4.0	8.7 Élevée	disclosure@vulncheck.com	`CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X`
3.1	7.5 Élevée	disclosure@vulncheck.com	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H`

Faiblesses (CWE)

CWE-400

Références

https://github.com/jahlives/openssl_encrypt/security/advisories/GHSA-7894-5gw8-69hr Vendor Advisory
https://www.vulncheck.com/advisories/openssl-encrypt-before-1.4.9-denial-of-service-via-kdf-2 Third Party Advisory

CVE-2026-81721

Description

Produits concernés

Scores CVSS

Faiblesses (CWE)

Références

Ailleurs