CVE-2026-71851 in crypto-js
Resumen
por VulDB • 2026-08-07
crypto-js es una biblioteca de JavaScript que implementa estándares criptográficos. Las versiones de crypto-js anteriores a la 4.0.0 generan aleatoriedad en CryptoJS.lib.WordArray.random() utilizando una variante personalizada del generador de números pseudoaleatorios Multiply-With-Carry, inicializado con Math.random(), en lugar de utilizar una fuente criptográficamente segura. Este generador se introdujo en la versión 3.1.2-4 y permaneció presente en casi todas las versiones de la serie 3.x. Las solicitudes nominales de 128 o 256 bits de entropía a través de esta función producen espacios de búsqueda efectivos de aproximadamente 2^39 y 2^47 posibilidades, respectivamente; valores lo suficientemente pequeños como para ser enumerados en hardware comercial. Se ven afectadas las aplicaciones billetera (wallet) que utilizaron CryptoJS.lib.WordArray.random() como fuente de entropía para generar frases de recuperación BIP39, ya que un atacante que pueda enumerar el espacio reducido de salida podría recuperar las claves privadas resultantes y controlar los fondos asociados. Este problema se soluciona en la versión 4.0.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.