CVE-2026-73567

Nome do Software Vulnerável e Versões Afetadas sm-crypto versões anteriores a 0.5.0

Description O software fornece implementações em JavaScript dos algoritmos criptográficos chineses SM2, SM3 e SM4. No Node.js, o caminho padrão sem argumentos de sm2.generateKeyPairHex() utiliza uma instância SecureRandom em src/sm2/utils.js fornecida por jsbn@1.1.0. Esta instância alimenta um fluxo ARC4 usando Math.random() e new Date().getTime() porque window.crypto.getRandomValues não está disponível. Um invasor capaz de observar as saídas de Math.random() e estimar o tempo de geração da chave pode reconstruir a semente, recuperar chaves privadas SM2 geradas e prever escalares efêmeros de assinatura para forjar assinaturas.

Recommendations Atualizar para a versão 0.5.0.