CVE-2026-119190

Nome do Software Vulnerável e Versões Afetadas Forge versões anteriores a 1.4.1

Descrição O Forge (também conhecido como node-forge) analisa incorretamente os OIDs de extensão obsoletos 2.5.29.10 e 2.5.29.13 como basicConstraints. A função pki.verifyCertificateChain() utiliza a primeira extensão encontrada com esse nome. Um invasor pode explorar isso se uma Autoridade Certificadora (CA) confiável emitir um certificado contendo uma extensão obsoleta permissiva antes da extensão basicConstraints 2.5.29.19 legítima. Isso permite que o detentor do certificado seja aceito como uma CA e emita certificados para nomes arbitrários, possibilitando a personificação de servidor ou cliente. No entanto, a cadeia é rejeitada se a CA emissora adicionar uma extensão keyUsage sem keyCertSign.

Recomendações Atualizar para a versão 1.4.1.