PT-2026-132810
CVE-2026-119190
·
تاريخ النشر
2026-10-29
·
تاريخ التحديث
2026-10-29
الوصف من
CVSS 3.1
7.4
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Forge الإصدارات السابقة لـ 1.4.1
الوصف
يقوم Forge (المعروف أيضاً باسم node-forge) بتحليل معرفات الكائنات (OIDs) للإضافات المهجورة 2.5.29.10 و 2.5.29.13 بشكل خاطئ على أنها basicConstraints. وتستخدم الدالة
pki.verifyCertificateChain() الإضافة الأولى التي تحمل هذا الاسم. يمكن للمهاجم استغلال ذلك إذا قامت سلطة إصدار شهادات (CA) موثوقة بإصدار شهادة تحتوي على إضافة مهجورة متساهلة قبل إضافة basicConstraints 2.5.29.19 الأصلية. يتيح ذلك لحامل الشهادة أن يتم قبوله كسلطة إصدار شهادات وإصدار شهادات لأسماء عشوائية، مما يسمح بانتحال شخصية الخادم أو العميل. ومع ذلك، يتم رفض السلسلة إذا أضافت سلطة إصدار الشهادات إضافة keyUsage بدون keyCertSign.التوصيات
التحديث إلى الإصدار 1.4.1.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾