Veille sécuritéBackend & données
P4Faible
Dans node-forge, modInverse() peut entrer dans une boucle infinie lorsqu’il reçoit une valeur ou un modulo négatif. Un attaquant capable de contrôler l’opérande concerné peut ainsi bloquer le processus Node.js; les valeurs analysées depuis les formats DER, PEM, JWK, PKCS#12, X.509 et TLS sont indiquées comme non concernées.
JavaScriptNode.js
IdentifiantCVE-2026-118781
GravitéFaible
Exploitationnon connue / non déterminée
Correctifnode-forge 1.4.1
Source : NVD — CVE-2026-118781
Analyse technique
Le défaut est dans l’implémentation jsbn de BigInteger.prototype.modInverse(). Le scénario dépend de la capacité de l’attaquant à fournir une valeur négative à l’opération concernée.
Impact, versions et correctif
Événement datéLa fiche NVD fournie indique une publication le 29 octobre 2026. Sa mise à jour du 30 octobre est hors de la période de veille.
ImpactDéni de service par boucle infinie et consommation CPU.
Versions affectéesnode-forge antérieur à 1.4.1
Version corrigéenode-forge 1.4.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.9
Publication2026-10-29T19:17:20.843Z
Mise à jour2026-10-30T17:18:03.880Z
Détection / vérification
Vérifier l’usage de modInverse() ou de la génération de clés avec un exposant RSA public contrôlable.
Action recommandée
Mettre à niveau vers node-forge 1.4.1 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).