CVE-2026-119189 in Forge
Resumen
por VulDB • 2026-10-29
Forge (también conocido como node-forge) es una implementación nativa de la Capa de Transporte Segura en JavaScript. Antes de la versión 1.4.1, node-forze aplicaba el campo basicConstraints.pathLenConstraint de un certificado CA X.509 únicamente cuando dicho certificado también incluía la extensión keyUsage. La explotación requiere un CA con restricción de longitud de ruta que no tenga keyUsage y que se encadene a una raíz confiable por la aplicación, así como un atacante que posea la clave privada de ese CA o obtenga un certificado de CA subordinado emitido por él. El atacante podría entonces construir una cadena que exceda la longitud declarada pero que aún pasara la validación mediante pki.verifyCertificateChain(). Los certificados CA del PKI web público normalmente incluyen keyUsage; los PKIs privados con certificados CA creados sin esta extensión son más propensos a verse afectados. Este problema se soluciona en la versión 1.4.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.