node-forge : vérification Ed25519 acceptant des clés publiques d’ordre faible

Veille sécuritéBackend & données

P4Faible

`ed25519.verify()` de node-forge acceptait des clés publiques Ed25519 d’ordre faible, permettant de fabriquer des signatures valides sans clé privée dans certaines situations. Le défaut concerne les applications qui vérifient des signatures avec des clés publiques contrôlées par des tiers; mettre à niveau vers node-forge 1.4.3 ou ultérieure.

IdentifiantCVE-2026-125335

GravitéFaible

Exploitationnon connue / non déterminée

Correctif1.4.3

Source : GitHub Advisory — GHSA-6889-vf6x-f3g5

Analyse technique

La vérification ne rejetait pas les points publics d’ordre faible. Le correctif rejette les clés dont la multiplication par 8 donne le point identité; les clés produites par la génération Ed25519 de node-forge ne sont pas concernées par ce mode de falsification selon l’avis.

Impact, versions et correctif

Événement datéPublication et mise à jour de l’avis GitHub le 10 novembre 2026; le correctif indiqué est node-forge 1.4.3.

ImpactDes signatures forgées peuvent être acceptées lorsque la vérification s’appuie sur une clé publique d’ordre faible contrôlée par un tiers.

Versions affectéesnode-forge <= 1.4.2

Version corrigée1.4.3

ContournementAvant de vérifier une clé publique non fiable, rejeter les clés d’ordre faible ou ne vérifier qu’avec des clés générées ou validées par l’application.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS3.7 · CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N

Publication2026-11-10T21:18:23Z

Mise à jour2026-11-10T21:18:23Z

Action recommandée

Mettre à niveau node-forge vers la version 1.4.3 ou ultérieure; valider les clés publiques non fiables si une mise à niveau immédiate est impossible.

Sources

Priorisation DFS : P4 · 2 source(s).