جزئیات آسیب‌پذیری

CVE-2026-118780

digitalbazaar forge

Forge: verifyCertificateChain() removes trusted CA certificates with the same subject from the CA store

CVSS 3.1

3.7پایین

نمای کلی اکسپلویت‌های عمومی اخبار مرتبط خط زمانی

خلاصه‌ی فارسی

خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.

شرح رسمی (انگلیسی)

Forge (also called node-forge) is a native implementation of Transport Layer Security in JavaScript. Prior to 1.4.1, the affected implementation used pki.verifyCertificateChain(), pki.createCaStore(), duplicate subject names to process the relevant input or security decision. node-forge modified the CA store while trying certificates that shared a subject name during pki.verifyCertificateChain(). A failed chain verification could permanently remove trusted CA certificates from the store, causing later valid chains to fail and creating a persistent availability impact for applications that reused the store. This issue is fixed in version 1.4.1.

امتیازهای CVSS

امتیاز	نسخه	منبع	بردار
3.7پایین	3.1	CVEProject cvelistV5 (CNA) (GitHub_M)	`CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L`

محصولات آسیب‌پذیر

فروشنده	محصول	نسخه‌ها	منبع
digitalbazaar	forge	< 1.4.1	CVEProject cvelistV5 (CNA)

منابع و راهنماها

https://github.com/digitalbazaar/forge/commit/f6555609bd30f442fbfacd543155928ceccf98d0 x_refsource_MISC
https://github.com/digitalbazaar/forge/releases/tag/v1.4.1 x_refsource_MISC
https://github.com/digitalbazaar/forge/security/advisories/GHSA-4487-j8r4-4g2f x_refsource_CONFIRM

اطلاعات

تاریخ انتشار: ۱۴۰۵/۰۸/۰۷
آخرین به‌روزرسانی: ۱۴۰۵/۰۸/۱۳
وضعیت: PUBLISHED
صادرکننده (CNA): GitHub_M
اولویت کلون: به‌زودی

پیش‌بینی بهره‌برداری (EPSS)

۰٫۱۷٪

احتمال بهره‌برداری در ۳۰ روز

۶٫۶٪

صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

Automatable: no
Exploitation: poc
Technical Impact: partial

ضعف‌ها (CWE)

CWE-295
Improper Certificate Validation
CWE-471
Modification of Assumed-Immutable Data (MAID)