CVE-2026-118782 in Forge
Zusammenfassung
von VulDB • 29.10.2026
Forge (auch bekannt als node-forge) ist eine native Implementierung der Transport Layer Security in JavaScript. Vor Version 1.4.1 akzeptierte node-forge einen PKCS#12-MAC oder eine Iterationsanzahl für die passwortbasierte Verschlüsselung von PKCS#12, die null oder weniger betrug. pki.pbe.generatePkcs12Key() gab daraufhin einen konstanten Schlüssel zurück, der unabhängig vom Passwort und Salt war, wodurch speziell angefertigte PKCS#12-Eingaben, die von forge.pkcs12.pkcs12FromAsn1() verarbeitet wurden, passwortbasierte Integritätsprüfungen umgehen konnten. Vorhersehbare Verschlüsselungsschlüssel und IVs (Initialization Vectors) betrafen auch PKCS#12-PBE unter Verwendung von pbeWithSHAAnd3-KeyTripleDES-CBC oder pbewithSHAAnd40BitRC2-CBC, einschließlich verschlüsselter Key Bags, encrypted SafeContents und PKCS#8 ENCRYPTED PRIVATE KEY-Eingaben, die unabhängig von forge.pki.decryptPrivateKeyInfo() verarbeitet wurden. PBES2/PBKDF2-verschlüsselte Inhalte sind nicht betroffen. Dieses Problem wurde in Version 1.4.1 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.