Media

openssl_encrypt versions before 1.4.6 contain a key derivation flaw in sequential XOR composition mode where the last stage cancels out during key generation. When configured with a single KDF and no

Publicada: 17.08.2026
Actualizado: 11.10.2026 15:18

openssl_encrypt versions before 1.4.6 contain a key derivation flaw in sequential XOR composition mode where the last stage cancels out during key generation. When configured with a single KDF and no prior hashing stage, attackers can bypass memory-hard key derivation and perform offline password cracking at SHA-256 speed instead of the configured KDF cost.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Python (PyPI)	openssl-encrypt	< 1.4.6	1.4.6

Referencias

Puntuación CVSS 5.5/10

Vector CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Debilidad (CWE): -
Plataforma: Python (PyPI)
Paquete: openssl-encrypt
Publicada: 17.08.2026
Actualizado: 11.10.2026 15:18

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2026-3976 - PyPA Advisory Database; CC BY 4.0

Historial de vulnerabilidades: openssl-encrypt

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (60) en el archivo

Entradas en total: 60
Primera → última: 03.2026 08.2026
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Crítica 2
Alta 1
Media 15
Sin evaluar 42

Divulgaciones por año

2026: 60

27.08.2026

openssl_encrypt versions before 1.4.9 contain a shell injection vulnerability in the info command's reconstructed CLI block that interpolates untrusted metadata fields without quoting. Attackers can c

Alta · 8.8 CVE-2026-81698 < 1.4.9 1.4.9
17.08.2026

openssl_encrypt versions before 1.4.0 contain an insecure default configuration that trusts the entire RFC 1918 private address space in IntegrityProxyConfig trusted_proxies. Attackers on private netw

Crítica · 9.1 CVE-2026-74882 < 1.4.0 1.4.0
17.08.2026

openssl_encrypt versions before 1.4.6 contain a key derivation flaw in sequential XOR composition mode where the last stage cancels out during key generation. When configured with a single KDF and no esta entrada

Media · 5.5 CVE-2026-74871 < 1.4.6 1.4.6
31.03.2026

openssl-encrypt: TOTP rate limiter is in-memory only — not shared across workers, lost on restart

Crítica CVE-2026-74878 < 1.4.0 1.4.0

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación