Use of Password Hash With Insufficient Computational Effort and Use of a Broken or Risky Cryptographic Algorithm and Reversible One-Way Hash in hashing.py

EnroCrypt, una biblioteca Python para criptografía, utilizaba MD5 para hash de contraseñas antes de la versión 1.1.4, un algoritmo criptográficamente roto que permite a los atacantes romper contraseñas mucho más rápidamente. Cualquier sistema que dependa de hashes MD5 para almacenamiento de contraseñas corre un grave riesgo de acceso no autorizado.

La vulnerabilidad resulta del uso de MD5 (CWE-327, CWE-328) para hash de contraseñas en hashing.py, un algoritmo roto vulnerable a ataques de colisión y fuerza bruta debido a esfuerzo computacional insuficiente (CWE-916). Un atacante con acceso a los hashes de contraseña puede recuperar fácilmente las credenciales en texto plano, comprometiendo la autenticación de usuarios. El problema se corrigió en la v1.1.4.