p PatchFirst

CVE-2026-81702

CVE-2026-81702 · openssl_encrypt before 1.4.9 Key Substitution via Identity Load

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

openssl_encrypt before 1.4.9 fails to re-derive and validate fingerprints when loading identities from identity.json, allowing attackers to substitute public keys in identity stores. Attackers can replace legitimate public keys with their own while maintaining the claimed fingerprint, enabling silent key substitution where encryption uses attacker keys and signature verification appears valid.

CVSS 9.3 · Critique · EPSS 0,2% · Correctif disponible

Publication
Mise à jour

Pile logicielle: python

Produits et versions concernés

  • openssl_encrypt

    Versions du logiciel
    • ≥ 0, < 1.4.9: Concernée (semver)
    • 1.4.9: Non concernée (semver)

    Mettez à jour vers 1.4.9

  • openssl-encrypt PyPI

    Versions du logiciel
    • 0.2.2
    • 0.2.3
    • 0.2.4
    • 0.2.5
    • 0.2.6
    • 0.3.0
    • 0.3.1
    • 0.3.2
    • 0.3.3
    • 0.4.0
    • 0.4.1
    • 0.4.2
    • 0.4.3
    • 0.4.4
    • 0.5.0
    • 0.5.1
    • 0.5.3
    • 0.6.0rc1
    • 0.7.0rc2
    • 0.7.1
    • 0.7.2
    • 0.8.0
    • 0.8.1
    • 0.8.2
    • 0.9.2
    • 1.0.0
    • 1.0.1
    • 1.0.2
    • 1.0.3
    • 1.1.0
    • 1.2.0
    • 1.2.1
    • 1.3.0
    • 1.3.1
    • 1.3.2
    • 1.3.3
    • 1.3.4
    • 1.3.5
    • 1.4.0
    • 1.4.0b3
    • 1.4.0b4
    • 1.4.0b5
    • 1.4.0b6
    • 1.4.0b7
    • 1.4.0b8
    • 1.4.1
    • 1.4.1rc2
    • 1.4.2
    • 1.4.4
    • 1.4.5
    • 1.4.6
    • 1.4.7
    • 1.4.8
    Plages de versions concernées
    • ECOSYSTEM: < 1.4.9

    Mettez à jour vers 1.4.9

Sources originales

Vérifiez votre serveur →