CVE-2026-119186

Nome do Software Vulnerável e Versões Afetadas Forge versões anteriores a 1.4.1

Description O Forge (também conhecido como node-forge) não valida a opção tagLength passada para a função start() durante a descriptografia através de forge.cipher.createDecipher(). Se uma aplicação utilizar um tagLength derivado de dados recebidos ou um valor de configuração semelhante a zero, isso pode levar a uma situação em que uma tag de autenticação vazia ou ausente faz com que a função decipher.finish() aceite texto cifrado não autenticado.

Recommendations Atualize o Forge para a versão 1.4.1. Como mitigação temporária, evite derivar o parâmetro tagLength de dados recebidos e utilize um comprimento de tag fixo e válido.