CVE-2026-116071
Beschrijving NL
rotki voor 1.44.2 bevat een zwakke sleutelafleidingskwetsbaarheid die aanvallers in staat stelt om back-ups met brute kracht te maken, omdat de premium synchronisatiesleutel een enkele ongezouten SHA-256 van het gebruikerswachtwoord is. Aanvallers die een geüploade back-up-blob verkrijgen, kunnen GPU-parallel offline wachtwoord raden en de database decoderen met uitwisseling-API-sleutels, geheimen, portemonnee-adressen en transactiegeschiedenis.
Origineel (Engels) tonen
rotki before 1.44.2 contains a weak key derivation vulnerability that allows attackers to brute-force backups because the premium sync key is a single unsalted SHA-256 of the user password. Attackers who obtain an uploaded backup blob can run GPU-parallel offline password guessing and decrypt the database containing exchange API keys, secrets, wallet addresses and transaction history.