JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-031441 openssl_encryptのバージョン1.4.0未満では、TOTPブルートフォース保護のためにインメモリのレートリミッターを使用していますが、これはワーカー間で共有されず、サーバーの再起動時に失われます。攻撃者は認証試行を複数のサーバーインスタンスに分散させたり、再起動直後にすぐにリトライしたりすることで、レートリミット保護を回避することが可能です。 cpe:/a:jahlives:openssl_encrypt https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-031441.html Common Vulnerabilities and Exposures (CVE) CVE-2026-74878 https://www.cve.org/CVERecord?id=CVE-2026-74878 National Vulnerability Database (NVD) CVE-2026-74878 https://nvd.nist.gov/vuln/detail/CVE-2026-74878 GitHub TOTP rate limiter is in-memory only — not shared across workers, lost on restart Advisory jahlives/openssl_encrypt GitHub https://github.com/jahlives/openssl_encrypt/security/advisories/GHSA-h45m-mgcp-q388 JVNDB CWE-770 https://cwe.mitre.org/data/definitions/770.html VulnCheck openssl_encrypt before 1.4.0 TOTP Rate Limiter Bypass | Advisories | VulnCheck https://www.vulncheck.com/advisories/openssl-encrypt-before-totp-rate-limiter-bypass 2026-09-02T14:47:46+09:00 2026-09-02T14:47:46+09:00