CVE-2026-125332

Nome do Software Vulnerável e Versões Afetadas Forge versões anteriores a 1.4.3

Descrição Um cliente forge.tls aceita um compression method no ServerHello que ele não ofereceu. Quando o cliente processa o ServerHelloDone, a função tls.createConnectionState() rejeita o algoritmo de compressão não suportado, lançando um Erro que se propaga a partir de connection.process(). Um servidor malicioso ou um invasor no caminho (on-path) pode alterar o byte de compressão do ServerHello não autenticado antes da mensagem Finished do servidor para encerrar um processo Node.js caso a aplicação não capture a exceção. Os caminhos de cliente afetados incluem o uso direto de forge.tls, forge.tls.wrapSocket e forge.http. Este problema não impacta a confidencialidade ou integridade, e servidores forge.tls não são afetados.

Recomendações Atualize o Forge para a versão 1.4.3. Como medida paliativa temporária, capture as exceções lançadas por connection.process() e feche o socket.