CVE-2026-81697
Publiée le 2026-08-27 · Dernière modification le 2026-08-31
Le package Python `openssl-encrypt` (versions 1.4.8 et antérieures) est affecté si vous utilisez son ancienne interface graphique Tk. Un attaquant capable de placer un fichier de configuration malveillant dans le répertoire depuis lequel vous lancez l'application peut abaisser silencieusement vos paramètres de chiffrement, rendant vos données chiffrées vulnérables à des attaques par force brute hors ligne. Cet exploit ne nécessite ni authentification ni interaction de l'utilisateur, si ce n'est le lancement du programme par la victime depuis un répertoire compromis.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
openssl_encrypt (pip package openssl-encrypt) versions <= 1.4.8 contain a CWD-relative configuration file resolution flaw in crypt_settings.py, where CONFIG_FILE (originally the absolute per-user path ~/.crypt_settings.json) is reassigned at line 84 to the bare relative name 'crypt_settings.json'. As a result, the legacy Tk GUI's SettingsTab reads and writes KDF settings from crypt_settings.json in the process launch (current working) directory instead of the user's home directory. An attacker who plants a malicious crypt_settings.json (e.g. sha256:1 with all memory-hard KDFs disabled) can silently downgrade encryption performed in that GUI session to roughly one hash round, bypassing the weak-KDF preflight and enabling offline brute-force attacks against the resulting ciphertext. Fixed in 1.4.9.