What is CVE-2026-74894?
openssl_encrypt versions prior to 1.4.0 contain an authentication bypass in the `verify_api_token` function, accepting any non-empty Bearer token without validation. This allows attackers to upload arbitrary public keys, enumerate all keys, and revoke keys belonging to any user. Immediate upgrade to version 1.4.0 or later is strongly recommended.
Azərbaycanca: openssl_encrypt-in 1.4.0-dan əvvəlki versiyalarında `verify_api_token` funksiyasında autentifikasiyadan yan keçmə zəifliyi aşkar edilib. Bu zəiflik istənilən boş olmayan Bearer token-i qəbul edərək, hücumçulara icazəsiz açıq açar yükləməyə, bütün açarları siyahılamağa və istənilən istifadəçiyə məxsus açarları ləğv etməyə imkan verir. Təcili olaraq kitabxananı 1.4.0 və ya daha yuxarı versiyaya yeniləmək tövsiyə olunur.
Related CVEs
link basis: same weakness class CWE-287
FAQ2
In which function was the CVE-2026-74894 vulnerability discovered?
The CVE-2026-74894 vulnerability was discovered in the `verify_api_token` function.
What actions can an attacker exploiting this vulnerability perform?
An attacker can upload arbitrary public keys, enumerate all keys, and revoke keys belonging to any user using any non-empty Bearer token.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.