JVNDB-2026-031618

JahlivesのOpenSSL Encryptにおける重要な情報の平文での送信に関する脆弱性

openssl_encryptのバージョン1.4.9以前では、loginおよびregister_with_email関数においてサーバーのURL検証に失敗し、暗号化されていないhttp:// URLおよび未設定のホストを受け入れてしまいます。ネットワーク経路上の攻撃者は、client_id、パスワード、JWTを含む平文の認証情報を傍受でき、それによってキーサーバーのアカウントを完全に乗っ取ることが可能となります。

Jahlives

• OpenSSL Encrypt 1.4.9 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : keyserver login/register_with_email accept http:// and unconfigured server URLs, leaking credentials  Advisory  jahlives/openssl_encrypt  GitHub

VulnCheck

• VulnCheck : openssl_encrypt before 1.4.9 Credential Leakage via Unvalidated Server URLs  | Advisories | VulnCheck

1. 重要な情報の平文での送信(CWE-319) [その他]

1. CVE-2026-81691

1. National Vulnerability Database (NVD) : CVE-2026-81691

• [2026年09月03日]
    掲載