node-forge : contraintes de nom X.509 non appliquées lors de la validation des certificats

Veille sécuritéFrontend

P3Élevée

Avant la version 1.4.3, node-forge ne vérifie pas l’extension X.509 nameConstraints lors de la validation des chaînes de certificats, et peut accepter un certificat dont le nom sort du périmètre autorisé par une autorité de certification à contraintes non critiques. Mettez à jour vers 1.4.3 ou une version ultérieure ; l’exploitation nécessite notamment une autorité contrainte liée à une racine de confiance et la capacité d’obtenir ou d’émettre un certificat hors périmètre.

IdentifiantCVE-2026-125336

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif1.4.3

Source : NVD — CVE-2026-125336

Analyse technique

Le défaut se situe dans pki.verifyCertificateChain() (lib/x509.js). Les chaînes sans nameConstraints ne sont pas concernées ; les nameConstraints critiques sont rejetées comme non prises en charge.

Impact, versions et correctif

Événement datéFiche NVD publiée le 2026-11-10T19:21:11.393Z et mise à jour le 2026-11-10T21:46:31.930Z (UTC), dates comprises dans la période demandée ; la fiche décrit la vulnérabilité et la version corrigée.

ImpactUn certificat peut être accepté pour un nom situé hors du sous-arbre autorisé, permettant potentiellement l’usurpation de noms lors de connexions TLS utilisant node-forge.

Versions affectéesVersions antérieures à 1.4.3

Version corrigée1.4.3

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.4

Publication2026-11-10T19:21:11.393Z

Mise à jour2026-11-10T21:46:31.930Z

Action recommandée

Mettre à jour node-forge vers 1.4.3 ou ultérieure.

Sources

NVD — CVE-2026-125336

Priorisation DFS : P3 · 1 source(s).