CVE-2026-73567 in sm-crypto
الملخص
بحسب VulDB • 13/08/2026
يوفر sm-crypto تطبيقات بلغة JavaScript لخوارزميات التشفير الصينية SM2 وSM3 وSM4. قبل الإصدار 0.5.0، يستخدم مسار `sm2.generateKeyPairHex()` الافتراضي الذي لا يستقبل وسيطات في Node.js مثيل SecureRandom على مستوى الوحدة النمطية الموجود في `src/sm2/utils.js`، والمزود بواسطة [email protected]، والذي يقوم بتغذية تدفق ARC4 باستخدام قيم من `Math.random()` و`new Date().getTime()` لأن `window.crypto.getRandomValues` غير متاحة رغم وجود `globalThis.crypto`. يمكن لمهاجم قادر على مراقبة مخرجات `Math.random()` للعملية وتقدير وقت إنشاء المفاتيح إعادة بناء البذلة (seed)، واستعادة مفاتيح SM2 الخاصة المُنشأة، والتنبؤ بالمقاييس المؤقتة للتوقيع المستخدمة لابتكار توقيعات مزيفة. تم إصلاح هذه المشكلة في الإصدار 0.5.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.