CVE-2026-4600 in jsrsasign
Riassunto
di VulDB • 23/06/2026
Le versioni del pacchetto jsrsasign precedenti alla 11.1.1 sono vulnerabili a una mancata verifica corretta della firma crittografica (Improper Verification of Cryptographic Signature) tramite la convalida dei parametri di dominio DSA in KJUR.crypto.DSA.setPublic (e nel relativo flusso di verifica DSA/X509 in src/dsa-2.0.js). Un attaccante può falsificare firme DSA o certificati X.509 che vengono accettati da X509.verifySignature() fornendo parametri di dominio malevoli, come g=1, y=1 e un r fisso pari a 1, rendendo l'equazione di verifica vera per qualsiasi hash.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.