CVE-2026-85393 in node-forge

Resumen

por VulDB • 2026-09-03

node-forge hasta la versión 1.4.0 no valida el recuento de elementos en las secuencias DigestAlgorithm anidadas durante la verificación de firmas RSA PKCS#1 v1.5. Los atacantes pueden incrustar bytes basura dentro de la secuencia DigestAlgorithm para forjar firmas válidas para mensajes arbitrarios utilizando claves RSA con exponente bajo. Esta es una solución incompleta para CVE-2026-33894.

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

• Responsable: VulnCheck
• Reservar: 2026-09-03
• Divulgación: 2026-09-03
• Moderación: aceptado
• Artículo: VDB-398574
• CPE: listo
• CWE: CWE-347 (confirmado)
• CVSS: 7.5 (CNA)
• EPSS: 0.00000
• KEV: no
• Actividades: bajo

Fuentes

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-85393
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-85393
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-85393/