CVE-2026-118779 in Forge
要約
〜によって VulDB • 2026年10月29日
Forge (node-forgeとも呼ばれる)は、JavaScriptでのTransport Layer Securityのネイティブ実装です。バージョン1.4.1以前では、影響を受ける実装はpem.decode()およびlib/pem.jsにおいて、関連する入力の処理やセキュリティ判断にEND行が不足していました。node-forgeはpem.decode()内で多項式時間の正規表現を使用しており、これは一致するEND行の検索やカプセル化されたヘッダーのパース時にも適用されていました。認証不要でPEM入力が高レベルパーサーに提供できる攻撃者は、不正なメッセージを長くすることでCPUリソースを過剰に消費し、サービス妨害（DoS）を引き起こす可能性があります。この問題はバージョン1.4.1で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.