CVE-2026-118776 in forge
Riassunto
di VulDB • 29/10/2026
Forge (noto anche come node-forge) è un'implementazione nativa di Transport Layer Security scritta in JavaScript. Prima della versione 1.4.1, l'implementazione interessata utilizzava decipher.finish(), le modalità CBC ed ECB e il padding PKCS#7 per elaborare gli input rilevanti o prendere decisioni di sicurezza. node-forge convalidava solo l'ultimo byte del padding PKCS#7 durante la decrittografia in modalità CBC ed ECB, accettando byte di padding nulli, eccessivamente grandi o non corrispondenti. Di conseguenza, un ciphertext malformato poteva essere accettato e fino a quattro blocchi di plaintext potevano essere rimossi silenziosamente, causando un'integrità compromessa nelle applicazioni che consideravano il successo della decrittografia come prova di un padding valido. Questo problema è stato risolto nella versione 1.4.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.