node-forge : contrainte de longueur de chemin CA ignorée sans keyUsage

Veille sécuritéFrontend

P4Moyenne

Dans node-forge avant 1.4.1, la contrainte de longueur de chemin d’un certificat CA pouvait être ignorée si celui-ci ne contenait pas d’extension keyUsage. Dans les chaînes concernées, un attaquant disposant de la clé privée de cette CA ou d’un certificat CA subordonné pouvait faire accepter une chaîne dépassant la longueur déclarée ; mettre à niveau vers 1.4.1 ou une version ultérieure.

IdentifiantCVE-2026-119189

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif1.4.1

Source : NVD — CVE-2026-119189

Analyse technique

L’exploitation nécessite une CA à longueur de chemin limitée, sans keyUsage, chaînée à une racine approuvée par l’application et une capacité d’émettre ou d’obtenir un certificat CA subordonné.

Impact, versions et correctif

Événement datéFiche NVD publiée le 2026-10-29, dans la période retenue ; la date de mise à jour ultérieure n’est pas retenue comme événement.

ImpactAcceptation possible de chaînes de certificats dépassant la contrainte de longueur de chemin.

Versions affectéesnode-forge avant 1.4.1

Version corrigée1.4.1

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.9

Publication2026-10-29T20:17:29.923Z

Mise à jour2026-10-30T17:18:03.880Z

Action recommandée

Mettre à niveau node-forge vers la version 1.4.1 ou ultérieure ; vérifier les certificats CA privés sans extension keyUsage.

Sources

NVD — CVE-2026-119189

Priorisation DFS : P4 · 1 source(s).