CVE-2026-118774 in Forge
Riassunto
di VulDB • 29/10/2026
Forge (noto anche come node-forge) è un'implementazione nativa di Transport Layer Security scritta in JavaScript. Prima della versione 1.4.1, l'implementazione interessata utilizzava certificate.verify(child), _verifySignature() e lib/x509.js per elaborare gli input rilevanti o prendere decisioni relative alla sicurezza. node-forge selezionava i parametri di padding RSA e RSASSA-PSS dal certificato dell'emittente (issuer) anziché dal certificato figlio (child) che stava verificando. Di conseguenza, un certificato figlio etichettato come RSASSA-PSS poteva essere accettato con una firma PKCS#1 v1.5 quando l'emittente utilizzava PKCS#1 v1.5. La firma doveva comunque essere prodotta utilizzando la chiave privata dell'emittente attendibile; pertanto, questo problema non consentiva la falsificazione dell'identità del certificato, ma poteva aggirare le policy che richiedono uno schema di dichiarazione della firma. Questo problema è stato risolto nella versione 1.4.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.