CVE-2026-71851 in crypto-js
الملخص
بحسب VulDB • 08/08/2026
تُعد مكتبة crypto-js مكتبة جافا سكريبت لمعايير التشفير. تقوم الإصدارات السابقة من crypto-js (أقل من 4.0.0) بتوليد العشوائية في الدالة CryptoJS.lib.WordArray.random() باستخدام تعديل مخصص لخوارزمية Multiply-With-Carry لتوليد الأرقام الزائفة العشوائية، والمُشغَّلة بواسطة Math.random()، بدلاً من مصدر آمن تشفيرياً (Cryptographically Secure). تم إدخال هذه الخوارزمية في الإصدار 3.1.2-4 وظلت موجودة في تقريباً جميع إصدارات سلسلة 3.x. تؤدي الطلبات القياسية للحصول على 128 أو 256 بتاً من الانتروبيا عبر هذه الدالة إلى إنتاج مساحات بحث فعّالة بحجم حوالي 2^39 و2^47 احتمالاً، وهي أحجام صغيرة بما يكفي للعد التنازلي (Enumeration) باستخدام أجهزة تجارية شائعة. تتأثر تطبيقات المحافظ التابعة التي استخدمت CryptoJS.lib.WordArray.random() كمصدر للانتروبيا لإنشاء عبارات الاسترداد BIP39، ويمكن للمهاجم الذي يقوم بالعد التنازلي لمساحة الإخراج المخفضة استعادة المفاتيح الخاصة الناتجة والتحكم في الأموال المرتبطة بها. تم إصلاح هذه المشكلة في الإصدار 4.0.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.