PT-2026-141103
CVE-2026-119078
·
تاريخ النشر
2026-11-09
·
تاريخ التحديث
2026-11-10
الوصف من
الدرجة
N/A
غير متوفرلا تتوفر حاليًا تقييمات أو مقاييس للخطورة. سنحدّث المعلومات المقابلة في الصفحة فور توفرها.
اسم البرنامج المصاب والإصدارات المتأثرة
Apache Commons Codec الإصدارات من 1.16.0 إلى 1.22.x
الوصف
تعتبر الدالة
doFinalize() في فئة Blake3 عديمة الحالة، مما يعني أنها لا تغير حالة التجزئة (hash state) عند استدعائها. وبناءً على ذلك، فإن الاستدعاءات المتتالية لهذه الدالة دون تقديم مدخلات إضافية تعيد نفس البايتات. وهذا يتعارض مع التوثيق الأصلي الذي أشار إلى أن الاستدعاءات اللاحقة ستنتج مخرجات مختلفة. التطبيقات التي تستخدم هذه الدالة لاشتقاق المفاتيح، مثل المثال المذكور في Javadoc، ستقوم باشتقاق مفاتيح متطابقة، مما يؤدي إلى فقدان الفصل بين المفاتيح.التوصيات
بالنسبة للإصدارات من 1.16.0 إلى 1.22.x، يجب اشتقاق مفاتيح متعددة عن طريق طلب الطول الإجمالي المدمج في استدعاء واحد للدالة
doFinalize() ثم تقسيم المخرجات الناتجة.
كإجراء تخفيف مؤقت، تجنب استدعاء الدالة doFinalize() أكثر من مرة واحدة على مثيل Blake3 واحد إذا كنت تتوقع مخرجات فريدة. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾