Veille sécuritéFrontend
P4Faible
node-forge choisissait le rembourrage RSA et les paramètres RSASSA-PSS à partir du certificat émetteur plutôt que du certificat enfant vérifié. Un certificat enfant déclaré RSASSA-PSS pouvait ainsi être accepté avec une signature PKCS#1 v1.5 ; mettre à jour vers la version 1.4.1 ou ultérieure.
JavaScript
IdentifiantCVE-2026-118774
GravitéFaible
Exploitationnon connue / non déterminée
Correctif1.4.1
Source : NVD — CVE-2026-118774
Analyse technique
La signature devait toujours être produite avec la clé privée de l’émetteur de confiance ; le problème peut contourner une politique imposant un schéma de signature déclaré, sans permettre de falsifier l’identité du certificat.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-29 à 19:17:19.863Z, dans la période demandée. La mise à jour ultérieure du 2026-10-30 n’est pas retenue comme événement de la période.
ImpactDes contrôles de sécurité qui imposent un schéma de signature particulier peuvent être contournés.
Versions affectéesAvant 1.4.1
Version corrigée1.4.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS3.7
Publication2026-10-29T19:17:19.863Z
Mise à jour2026-10-30T17:07:53.700Z
Action recommandée
Mettre à jour node-forge vers la version 1.4.1 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).