CVE-2026-69248

Nome do Software Vulnerável e Versões Afetadas cryptography versões anteriores a 49.0.0

Description Existe uma falha no verificador onde um padrão de curinga (wildcard) no DNS Subject Alternative Name (SAN) de um certificado folha é incorretamente tratado como correspondente a uma restrição permitida mais específica de uma Autoridade Certificadora (CA) intermediária restrita. Especificamente, a função DNSConstraint::matches permite que um curinga como *.example.com se expanda para nomes irmãos como bar.example.com, mesmo que a CA esteja restrita a foo.example.com. Este comportamento permite a aceitação de uma cadeia de certificados inválida, possibilitando a evasão do escopo fora dos nomes permitidos.

Recommendations Atualize para a versão 49.0.0.