What is CVE-2026-74878?
The openssl_encrypt library's TOTP brute-force protection relies on an in-memory rate limiter which is lost on server restart and not shared across workers. This allows attackers to bypass the protection by distributing authentication attempts or retrying after a restart. Upgrading to version 1.4.0 or later resolves this issue.
Azərbaycanca: openssl_encrypt kitabxanasında TOTP brute-force müdafiəsi yalnız işçi yaddaşda saxlanan rate limiter ilə təmin edilir. Bu o deməkdir ki, hücumçular server yenidən başladıqda və ya sorğuları müxtəlif server instansiyalarına paylayaraq müdafiəni asanlıqla keçə bilərlər. Təsirə məruz qalan versiyalardan 1.4.0 və daha yuxarı versiyalara yeniləmək tövsiyə olunur.
FAQ1
How can attackers bypass the TOTP brute-force protection in CVE-2026-74878?
The vulnerability occurs because the TOTP brute-force protection relies on an in-memory rate limiter. Attackers can bypass this protection by distributing authentication attempts across different server instances or retrying after a server restart.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.