PT-2026-69115
CVE-2026-71851
·
تاريخ النشر
2026-08-07
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 3.1
9.0
حرجةالمقاييسAV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات crypto-js الأقدم من 4.0.0
الوصف
تستخدم الدالة
CryptoJS.lib.WordArray.random() نسخة مخصصة من مولد الأعداد العشوائية الزائفة «Multiply-With-Carry»، الذي يتم تزويده بقيمة البذرة من Math.random() بدلاً من مصدر آمن من الناحية التشفيرية. ينتج عن ذلك انخفاض كبير في مساحة البحث عن الإنتروبيا؛ حيث تنتج طلبات الحصول على 128 أو 256 بت من الإنتروبيا حوالي 2^39 و2^47 احتمالًا فقط، على التوالي، وهو ما يمكن حصره باستخدام أجهزة عادية. تتأثر تطبيقات المحافظ التي تستخدم هذه الدالة لعبارات الاسترداد وفقًا لمعيار BIP39، مما يسمح للمهاجمين باستعادة المفاتيح الخاصة والتحكم في الأموال. أدت الحوادث الفعلية التي تضمنت موجات استنزاف منسقة إلى سرقة أصول تقدر بقيمة لا تقل عن 5 ملايين دولار. ولا يمكن استغلال التطبيق إلا إذا كان يستخدم الدالة المعرضة للخطر لتوليد قيم حساسة من الناحية الأمنية.التوصيات
قم بتحديث crypto-js إلى الإصدار 4.0.0 أو أحدث.
كإجراء تخفيفي مؤقت، تجنب استخدام الدالة
CryptoJS.lib.WordArray.random() لتوليد قيم حساسة من الناحية الأمنية، واستخدم بدلاً من ذلك واجهة برمجة تطبيقات Web Crypto الأصلية أو وحدة crypto في Node.js.قم بتغيير جميع الأسرار طويلة الأجل التي تم إنشاؤها عبر المسار المتأثر، حيث يجب التعامل معها على أنها تعرضت للاختراق.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾