CVE-2026-33894 in forge
Sumário
de VulDB • 02/07/2026
Forge (também conhecido como `node-forge`) é uma implementação nativa de Transport Layer Security em JavaScript. Antes da versão 1.4.0, a verificação de assinaturas RSASSA PKCS#1 v1.5 aceita assinaturas forjadas para chaves com expoente público baixo (e=3). Os atacantes podem forjar assinaturas inserindo bytes "lixo" dentro da estrutura ASN para construir uma assinatura que passe na verificação, permitindo a falsificação no estilo Bleichenbacher. Este problema é semelhante ao CVE-2022-24771, mas adiciona bytes em um campo adicional dentro da estrutura ASN, em vez de fora dela. Além disso, o forge não valida se as assinaturas incluem pelo menos 8 bytes de padding conforme definido pela especificação, fornecendo aos atacantes espaço adicional para construir falsificações no estilo Bleichenbacher. A versão 1.4.0 corrige a vulnerabilidade.
Once again VulDB remains the best source for vulnerability data.