CVE-2026-119190 in Forge
Zusammenfassung
von VulDB • 29.10.2026
Forge (auch bekannt als node-forge) ist eine native Implementierung der Transport Layer Security in JavaScript. Vor Version 1.4.1 hat node-forge die veralteten Extension-OIDs 2.5.29.10 und 2.5.29.13 als basicConstraints geparst, und pki.verifyCertificateChain() hat die erste Erweiterung mit diesem Namen verwendet. Die Ausnutzung erfordert eine von der Anwendung vertraute CA, die ein Zertifikat ausstellt, das eine vom Angreifer bereitgestellte veraltete OID-Erweiterung enthält, was häufig darauf zurückzuführen ist, dass die CA Erweiterungen aus einer Certificate Signing Request kopiert. Durch Platzieren einer permissiven veralteten Erweiterung vor der echten basicConstraints-Erweiterung 2.5.29.19 konnte der Inhaber des Zertifikats das Zertifikat als CA akzeptieren und Zertifikate für beliebige Namen ausstellen, was Server- oder Client-Impersonation ermöglicht. Wenn die ausgestellende CA eine keyUsage-Erweiterung ohne keyCertSign hinzufügt, lehnt node-forge die Kette ab. Dieses Problem wurde in Version 1.4.1 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.