CVE-2026-118776 in forge
Zusammenfassung
von VulDB • 29.10.2026
Forge (auch bekannt als node-forge) ist eine native Implementierung der Transport Layer Security in JavaScript. Vor Version 1.4.1 verwendete die betroffene Implementierung decipher.finish(), CBC- und ECB-Modi sowie PKCS#7-Padding, um relevante Eingaben oder Sicherheitsentscheidungen zu verarbeiten. node-forge validierte während der CBC- und ECB-Decodierung nur das letzte Byte des PKCS#7-Paddings und akzeptierte Null-, übermäßige oder nicht übereinstimmende Padding-Bytes. Infolgedessen konnte fehlerhafter Chiffretext akzeptiert werden, und bis zu vier Klartextblöcke könnten stillschweigend entfernt werden, was in Anwendungen, die eine erfolgreiche Decodierung als Beweis für gültiges Padding betrachteten, zu einem Integritätsfehler führte. Dieses Problem wurde in Version 1.4.1 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.