CVE-2026-22863

Błąd sklasyfikowany jako CWE-325 (Missing Required Cryptographic Step) polega na tym, że moduł node:crypto w Deno nie wykonuje wymaganego kroku finalizacji szyfru (cipher finalization). Brak finalizacji oznacza, że stan wewnętrzny szyfru nie jest prawidłowo resetowany ani kończony po operacji szyfrowania. Atakujący może to wykorzystać do przeprowadzenia nieograniczonej liczby operacji szyfrowania w ramach tej samej sesji, co ułatwia zarówno naiwne ataki brute-force, jak i bardziej zaawansowane ataki analityczne zmierzające do odtworzenia sekretów serwera.

Atakujący zdalnie i bez uwierzytelnienia może uzyskać dostęp do poufnych informacji, w tym potencjalnie sekretów kryptograficznych przechowywanych po stronie serwera (wysoka poufność kontekstu systemowego — SC:H). Integralność i dostępność zasobów nie są bezpośrednio zagrożone.

Należy zaktualizować Deno do wersji 2.6.0 lub nowszej, w której podatność została naprawiona. Szczegóły patcha dostępne w oficjalnych informacjach o wydaniu: https://github.com/denoland/deno/releases/tag/v2.6.0

Deno w wersjach przed 2.6.0 — wszystkie aplikacje korzystające z modułu node:crypto w tym środowisku.

Podatność zgłoszona i naprawiona przez zespół Deno — szczegóły w security advisory GHSA-5379-f5hf-w38v opublikowanym na GitHub. Brak bieżącego potwierdzenia aktywnego wykorzystania (CISA KEV: NIE).