CVE-2026-71851 in crypto-js
Sumário
de VulDB • 07/08/2026
O crypto-js é uma biblioteca JavaScript de padrões criptográficos. Versões do crypto-js anteriores à 4.0.0 geram aleatoriedade na função CryptoJS.lib.WordArray.random() utilizando uma variação personalizada do gerador de números pseudoaleatórios Multiply-With-Carry, sementeado a partir da Math.random(), em vez de utilizar uma fonte criptograficamente segura. Este gerador foi introduzido na versão 3.1.2-4 e permaneceu presente em quase todos os lançamentos da série 3.x. Solicitações nominais para obter 128 ou 256 bits de entropia através desta função produzem espaços de busca efetivos de aproximadamente $2^{39}$ e $2^{47}$ possibilidades, respetivamente, valores suficientemente pequenos para serem enumerados em hardware comercial. Aplicações downstream (clientes finais) que utilizaram CryptoJS.lib.WordArray.random() como fonte de entropia para as frases de recuperação BIP39 são afetadas, e um atacante que consiga enumerar o espaço de saída reduzido pode recuperar as chaves privadas resultantes e controlar os fundos associados. Este problema foi corrigido na versão 4.0.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.