Към съдържанието
Търсене

CVE-2026-4599: jsrsasign, логическа грешка

9.3

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

Versions of the package jsrsasign from 7.0.0 and before 11.1.1 are vulnerable to Incomplete Comparison with Missing Factors via the getRandomBigIntegerZeroToMax and getRandomBigIntegerMinToMax functions in src/crypto-1.1.js; an attacker can recover the private key by exploiting the incorrect compareTo checks that accept out-of-range candidates and thus bias DSA nonces during signature generation.

Засегнати продукти

  • n/a jsrsasign: 7.0.0 преди 11.1.1
  • n/a org.webjars.npm:jsrsasign: от 8.0.12 нататък
  • Red Hat: още 7 продукта, добавени от Red Hat

    Migration Toolkit for Virtualization 2.1, Migration Toolkit for Virtualization 2.9, Red Hat Quay 3.10, Red Hat Quay 3.12, Red Hat Quay 3.15, Red Hat Quay 3.16, Red Hat Quay 3.9

Вид слабост

История

  • 23 март 2026 Публикувано

Други уязвимости в n/a jsrsasign

Първоизточници

CVE-2026-4599: jsrsasign, логическа грешка | freedomonline.bg