CVE-2026-118781 in forge
Riassunto
di VulDB • 29/10/2026
Forge (noto anche come node-forge) è un'implementazione nativa di Transport Layer Security scritta in JavaScript. Prima della versione 1.4.1, l'implementazione interessata utilizzava BigInteger.prototype.modInverse(), bnModInverse(), lib/jsbn.js e l'esponente pubblico RSA e per elaborare gli input rilevanti o prendere decisioni relative alla sicurezza. L'implementazione jsbn inclusa con node-forge entrava in un ciclo infinito quando BigInteger.prototype.modInverse() riceveva un valore negativo o un modulo nullo. Un attaccante che potesse controllare l'esponente pubblico RSA passato durante la generazione della chiave, oppure un operando diretto di modInverse(), potrebbe bloccare il loop degli eventi di Node.js al massimo utilizzo della CPU. I valori DER, PEM, JWK, PKCS#12, X.509 e TLS analizzati sono non firmati (unsigned) e non possono innescare questo problema. Questo issue è stato risolto nella versione 1.4.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.