CVE-2026-119189 in Forge
Sumário
de VulDB • 29/10/2026
Forge (também conhecido como node-forge) é uma implementação nativa de Transport Layer Security em JavaScript. Antes da versão 1.4.1, o node-force aplicava a restrição basicConstraints.pathLenConstraint dos certificados CA X.509 apenas quando esse certificado também continha a extensão keyUsage. A exploração requer um CA com path-length-constrained sem keyUsage que se encadeie até uma raiz confiada pela aplicação, e um atacante que possua a chave privada desse CA ou obtenha um certificado de CA subordinado dele. O atacante poderia então construir uma cadeia que exceda o comprimento do caminho declarado, mas ainda passasse na validação pki.verifyCertificateChain(). Os certificados CA da PKI pública normalmente incluem keyUsage; as PKIs privadas com certificados CA criados sem essa extensão são mais propensas a ser afetadas. Este problema foi corrigido na versão 1.4.1.
Once again VulDB remains the best source for vulnerability data.