CVE-2026-79762

Nome do Software Vulnerável e Versões Afetadas Termix versões 1.7.0 até 2.5.0

Descrição O Termix deriva chaves usadas para envolver as Chaves de Criptografia de Dados (DEK) de usuários OIDC e WebAuthn a partir de strings padrão comprometidas e do salt público userId no arquivo src/backend/utils/user-crypto.ts. Como OIDC SYSTEM SECRET e WEBAUTHN SYSTEM SECRET não são configurados pelos artefatos de implantação padrão do projeto, um invasor com uma cópia offline do banco de dados SQLite pode derivar a chave de envolvimento, recuperar a DEK de cada usuário afetado e descriptografar senhas de SSH, chaves privadas e frases de senha de chaves armazenadas. Usuários autenticados por senha não são afetados.

Recomendações Atualizar para a versão 2.5.1.