What is CVE-2026-74881?
This vulnerability arises because openssl_encrypt versions prior to 1.4.0 misconfigure CORS by setting `allow_origins` to a wildcard (*) while `allow_credentials` is enabled (`true`). This allows attackers to use malicious websites to make authenticated cross-origin requests to the API on behalf of any visiting user. Upgrading to version 1.4.0 or later is recommended to fix the issue.
Azərbaycanca: Bu zəiflik openssl_encrypt kitabxanasının 1.4.0-dan əvvəlki versiyalarında CORS konfiqurasiyasının səhvən `allow_origins`-i wildcard (*) və `allow_credentials`-i `true` olaraq təyin etməsindən qaynaqlanır. Nəticədə, təcavüzkar zərərli vebsayt vasitəsilə istifadəçi adından autentifikasiyalı API sorğuları göndərə bilər. Kitabxananı ən az 1.4.0 versiyasına yeniləmək tövsiyə olunur.
Related CVEs
link basis: same weakness class CWE-352
FAQ2
Which versions of the openssl_encrypt library are affected by CVE-2026-74881?
This vulnerability affects openssl_encrypt library versions prior to 1.4.0.
What can an attacker achieve by exploiting CVE-2026-74881?
An attacker can use a malicious website to make authenticated cross-origin requests to the API on behalf of the visiting user.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.