CVE-2026-94206— Cloak PBKDF2 字段忽略配置的迭代次数
一分钟漏洞结论
影响对象
danielberkompas cloak_ecto
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
danielberkompas/cloak_ecto 和 danielberkompas/cloak 中存在“使用计算强度不足的密码哈希”漏洞。持有哈希值和配置密钥的攻击者可以比配置预期更快地对低熵明文执行暴力破解。 Cloak.Ecto.PBKDF2（在 Ecto 代码迁移至 cloak_ecto 之前位于 cloak/fields/PBKDF2）向字段模块注入的 回调函数中，调用了 ，并将配置项 错误地放在迭代次数（iteration-count）参数位置。虽然 配置项经过了有效性验证，但实际并未被使用。以 c
可能的 ATT&CK 技术 1 AI
T1552 · Unsecured Credentials
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-94206 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Cloak PBKDF2 field ignores the configured iteration count and runs only :size rounds
来源: CVE Program / CVE List V5
Vulnerability Description
Use of Password Hash With Insufficient Computational Effort vulnerability in danielberkompas cloak_ecto and danielberkompas cloak allows an attacker who holds the hashed values and the configured secret to brute-force low-entropy plaintexts much faster than configured.
The dump/1 callback that Cloak.Ecto.PBKDF2 (Cloak.Fields.PBKDF2 in cloak before the Ecto code moved to cloak_ecto) injects into a field module calls :pbkdf2.pbkdf2/4 with config[:size] in the iteration-count position. The :iterations setting is validated but never used. With the cloak_ecto defaults (iterations: 600_000, size: 32) each hash runs 32 PBKDF2 rounds instead of 600,000, so offline guessing of values such as email addresses costs about 18,750 times less than configured.
This issue affects cloak_ecto: from 1.0.0-alpha.0 onward; cloak: from 0.7.0 before 1.0.0-alpha.0.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
使用具有不充分计算复杂性的口令哈希
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| danielberkompas | cloak_ecto | 1.0.0-alpha.0 ~ * |
cpe:2.3:a:danielberkompas:cloak_ecto:*:*:*:*:*:*:*:*
|
|
| danielberkompas | cloak_ecto | a8fa1642b02f1c445a1ee8794c9095eb0921f8f3 ~ * |
cpe:2.3:a:danielberkompas:cloak_ecto:*:*:*:*:*:*:*:*
|
|
| danielberkompas | cloak | 0.7.0 ~ 1.0.0-alpha.0 |
cpe:2.3:a:danielberkompas:cloak:*:*:*:*:*:*:*:*
|
|
| danielberkompas | cloak | 8699e6417a162c39d9f0ef63511bd23d3f38d1d2 ~ 681c9702b7cd9afe0e5a840751ab009f550c69a9 |
cpe:2.3:a:danielberkompas:cloak:*:*:*:*:*:*:*:*
|
|
二、漏洞 CVE-2026-94206 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-94206 的情报信息
请登录查看更多情报信息。
CVE-2026-94206 厂商安全公告 (1)
-
🔗 EEF-CVE-2026-94206 - OSV related
CVE-2026-94206 新闻报道 (1)
IV. Related Vulnerabilities
V. Comments for CVE-2026-94206
暂无评论