جزئیات آسیب‌پذیری
CVE-2026-119191
digitalbazaar forge
Forge: ASN.1 resource exhaustion via BIT STRING decoding in asn1.fromDer
CVSS 3.1
7.5بالا
نمای کلی
اکسپلویت‌های عمومی
اخبار مرتبط
خط زمانی
خلاصه‌ی فارسی
خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.
شرح رسمی (انگلیسی)
Forge (also called node-forge) is a native implementation of Transport Layer Security in JavaScript. Prior to 1.4.1, the affected implementation used asn1.fromDer(), BIT STRING decoding, maxDepth to process the relevant input or security decision. node-forge decoded ASN.1 stored inside BIT STRING values without consistently applying the configured maxDepth limit and recursively retained copies at each nesting level. Crafted DER containing nested BIT STRINGs could cause excessive recursion, CPU use, and quadratic memory consumption during asn1.fromDer(). This issue is fixed in version 1.4.1.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.5بالا | 3.1 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| digitalbazaar | forge | < 1.4.1 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۴- https://github.com/digitalbazaar/forge/commit/24035c181f41885ea3ec7279e6c0fcf270b6ec4b x_refsource_MISC
- https://github.com/digitalbazaar/forge/commit/523c8e74c28457daeff044230dce4a36313c5ab7 x_refsource_MISC
- https://github.com/digitalbazaar/forge/releases/tag/v1.4.1 x_refsource_MISC
- https://github.com/digitalbazaar/forge/security/advisories/GHSA-rhr8-3pm8-cq29 x_refsource_CONFIRM
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۸/۰۷
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۸/۱۳
- وضعیت
- PUBLISHED
- صادرکننده (CNA)
- GitHub_M
- اولویت کلون
- به‌زودی
پیش‌بینی بهره‌برداری (EPSS)
۰٫۴۲٪
احتمال بهره‌برداری در ۳۰ روز
۳۷٫۱٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- Automatable
- yes
- Exploitation
- poc
- Technical Impact
- partial
ضعف‌ها (CWE)
- CWE-400Uncontrolled Resource Consumption
- CWE-674Uncontrolled Recursion