CAPEC-20СтандартЧерновик
Перебор ключа шифрования
Злоумышленник, располагая шифртекстом и используемым алгоритмом шифрования, выполняет исчерпывающий (методом грубой силы) поиск по пространству ключей для определения ключа, дешифрующего шифртекст в открытый текст.
Открыть в каталоге с фильтром CAPEC →Связанные CWE
CWE-326
Продукт хранит или передаёт конфиденциальные данные с использованием схемы шифрования, которая теоретически корректна, однако не
CWE-327
Продукт использует ненадёжный или опасный криптографический алгоритм либо протокол.
CWE-693
Программный продукт не использует или некорректно использует механизм защиты, обеспечивающий достаточную защиту от направленных
CWE-1204
Продукт использует криптографический примитив, требующий вектора инициализации (IV), однако продукт не генерирует IV, достаточно не
Связанные уязвимости
CVE-2026-50086Шлюз Aqara IAM/SSO (gw-builder.aqara.com) выставляет двунаправленные круглые маршруты AES на ключе подписи платформы без аутентификации. Это пример «CWE-306: отсутствует аутентификация для критической функции» и «CWE-327: Использование сломанного или рискованного криптографического алгоритма» и имеет предполагаемое CVSS CVSS:3.1/AV:N/AC:L/PR:N/U/N/U/S:H/N/I:N/A:N/A:N/A:N/A:N (7,5.5).
CVE-2026-47140vm2 - это vm/sandbox с открытым исходным кодом для Node.js. До версии 3.11.4 NodeVM блокирует несколько опасных встроений Node.js, таких как модуль, worker_threads, кластер, vm, repl и Inspector. Однако отказ в листе пропускает процесс и инспектор/обещания. Оба могут быть использованы из песочкового кода для достижения примитивов выполнения на стороне хоста. Это позволяет песочковому коду обходить предполагаемые встроенные ограничения и выполнять код в процессе хоста. Эта проблема была исправлена в версии 3.11.4.
CVE-2026-44523Note Mark - это приложение для заметок с открытым исходным кодом. До 0.19.4 минимальная длина или энтропия не применяется в значении конфигурации JWT_SECRET. Приложение принимает любой базовый 64-декодируемый секрет независимо от размера, включая секреты, короткие до 1 байта. Эта уязвимость фиксируется в пункте 0,19.4.
CVE-2026-34938PraisonAI - это многоагентная система команд. До версии 1.5.90, выполнить_code() в прайзонай-агентах запускает управляемый злоумышленником Python внутри трехслойной песочницы, которую можно полностью обойти, пройдя подкласс str с переопределенным методом стартов с () на обертку _safe_getattr, достигнув произвольного выполнения команды ОС на хосте. Этот вопрос был исправлен в версии 1.5.90.
CVE-2026-34208SandboxJS - это библиотека песочницы JavaScript. До 0.8.36 SandboxJS блокирует прямое назначение на глобальные объекты (например, Math.random = ...), но эта защита может быть обойдена через открытый коллируемый путь конструктора: this.constructor.call (target, aterObject). Поскольку этот.конструктор переходит на внутреннюю функцию SandboxGlobal и разрешен Function.prototype.call, код злоумышленника может записывать произвольные свойства в глобальные объекты хоста и сохранять эти мутации в экземплярах песочницы в одном и том же процессе. Эта уязвимость фиксируется в 0.8.36.
CVE-2026-2761Выполнение произвольного кода в Mozilla Firefox и Thunderbird ESR
CVE-2026-0881Выполнение произвольного кода в Mozilla Thunderbird
CVE-2025-12478Несоответствие TLS Configuration.Эта проблема затрагивает BLU-IC2: до 1.19.5; BLU-IC4: до 1.19.5.
CVE-2022-35978Minetest - это бесплатный игровой движок с открытым исходным кодом для воксельной графики с простым моддингом и созданием игр. В **одиночной игре** мод может установить глобальную настройку, которая управляет скриптом Lua, загружаемым для отображения главного меню. Затем скрипт загружается сразу после выхода из игровой сессии. Среда Lua, в которой работает меню, не изолирована и может напрямую вмешиваться в систему пользователя. В настоящее время нет известных обходных путей.
CVE-2022-32845Эта проблема была решена путем улучшения проверок. Эта проблема устранена в watchOS 8.7, iOS 15.6 и iPadOS 15.6, macOS Monterey 12.5. Приложение может выйти из своей песочницы.
CVE-2020-6966В ApexPro Telemetry Server версий 4.2 и более ранних, CARESCAPE Telemetry Server v4.2 и более ранних, Clinical Information Center (CIC) версий 4.X и 5.X, CARESCAPE Central Station (CSCS) версии 1.X в уязвимых продуктах используется слабая схема шифрования для удаленного управления рабочим столом, что может позволить злоумышленнику получить удаленное выполнение кода устройств в сети.
CVE-2026-45102OneUptime - это платформа мониторинга и наблюдения с открытым исходным кодом. До 10.0.98 OneUptime использует модуль Node.js vm в качестве примитива изоляции. Этот API не был предназначен для этого и может быть устранен с помощью объектов ошибок и бесконечной рекурсии. Эта уязвимость исправлена в 10.0.98.
CVE-2025-68668Выполнение произвольного кода в n8n
CVE-2025-54426Polkadot Frontier - это уровень совместимости Ethereum и EVM для Polkadot и Substrate. В версиях до совершения 36f70d1, прекомпилирования Curve25519Add и Curve25519ScalarMul неправильно обрабатывают недействительные представления точек Ristretto. Вместо того, чтобы возвращать ошибку, они молча рассматривают недействительные входные байты как элемент идентификации Ristretto, что приводит к потенциально неправильным криптографическим результатам. Это фиксируется в декватном 36f70d1.
CVE-2023-25765В Jenkins Email Extension Plugin 2.93 и более ранних версиях шаблоны, определенные внутри папки, не подлежали защите Script Security, что позволяло злоумышленникам, способным определять шаблоны электронной почты в папках, обходить защиту песочницы и выполнять произвольный код в контексте JVM контроллера Jenkins.