Une validation incorrecte d’extensions de certificats dépréciées peut faire accepter un certificat comme autorité de certification et permettre l’usurpation de serveurs ou de clients. Le risque dépend notamment de la capacité d’une autorité de certification approuvée à émettre un certificat contenant l’extension malveillante; la version corrigée est node-forge 1.4.1.
Source : NVD — CVE-2026-119190
Analyse technique
pki.verifyCertificateChain() utilisait la première extension portant le nom basicConstraints. Une extension permissive avec un OID déprécié placée avant l’extension basicConstraints légitime peut conduire à traiter le certificat comme une CA; une extension keyUsage excluant keyCertSign entraîne toutefois le rejet de la chaîne.
Impact, versions et correctif
Action recommandée
Mettre à niveau node-forge vers la version 1.4.1 ou ultérieure et vérifier les chaînes de certificats traitées par l’application.
Sources
Priorisation DFS : P3 · 1 source(s).