CVE-2026-74874
Publiée le 2026-08-17 · Dernière modification le 2026-10-08
Les versions d'openssl_encrypt antérieures à 1.4.0 sont concernées car elles utilisent un générateur de nombres aléatoires prévisible pour masquer des données au sein d'images. Un attaquant qui connaît déjà le mot de passe peut analyser une petite quantité de données de sortie pour prédire précisément quels pixels contiennent des informations cachées et ainsi extraire les données secrètes. Cette opération peut être réalisée à distance via un réseau, sans nécessiter de privilèges particuliers ni d'interaction de la part de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
openssl_encrypt versions before 1.4.0 use Python's non-cryptographic random module for steganographic pixel selection in the generate_pseudorandom_sequence function. Attackers who know the password can recover the Mersenne Twister state from approximately 624 outputs and predict pixel locations containing hidden data for extraction.