node-forge : acceptation de données AES-GCM sans authentification

Veille sécuritéFrontend

P4Moyenne

Dans node-forge avant 1.4.1, la longueur de balise AES-GCM n’était pas validée lors du déchiffrement et une valeur convertie en zéro, avec une balise absente ou vide, pouvait faire accepter un texte chiffré sans authentification. Les applications utilisant la longueur par défaut de 128 bits ou une valeur fixe valide ne sont pas concernées ; mettre à niveau vers 1.4.1 ou une version ultérieure.

IdentifiantCVE-2026-119186

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif1.4.1

Source : NVD — CVE-2026-119186

Analyse technique

Le défaut concerne le déchiffrement par `forge.cipher.createDecipher()` lorsque `tagLength` est dérivée des données reçues ou configurée à une valeur nulle ou absente.

Impact, versions et correctif

Événement datéFiche NVD publiée le 2026-10-29, dans la période retenue ; la date de mise à jour ultérieure n’est pas retenue comme événement.

ImpactAcceptation possible de textes chiffrés AES-GCM non authentifiés.

Versions affectéesnode-forge avant 1.4.1

Version corrigée1.4.1

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.9

Publication2026-10-29T20:17:29.500Z

Mise à jour2026-10-30T17:18:03.880Z

Action recommandée

Mettre à niveau node-forge vers la version 1.4.1 ou ultérieure ; utiliser une longueur de balise AES-GCM fixe et valide en attendant.

Sources

NVD — CVE-2026-119186

Priorisation DFS : P4 · 1 source(s).