p PatchFirst

CVE-2024-49365

CVE-2024-49365 · tiny-secp256k1 allows for verify() bypass when running in bundled environment

CVSS 8.1 · Высокий · EPSS 0,2% · Есть исправление

Затронуты ли вы?

Как узнать установленную версию:

npm ls tiny-secp256k1

Бесплатная проверка покажет рейтинг сервера и подсветит, требует ли внимания tiny-secp256k1 и остальные программы. Без регистрации; имена серверов и IP-адреса не отправляются. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.

curl -fsSL https://ru.patchfirst.dev/check.sh | sh
Проверить сервер бесплатно →

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

tiny-secp256k1 is a tiny secp256k1 native/JS wrapper. Prior to version 1.1.7, a malicious JSON-stringifyable message can be made passing on verify(), when global Buffer is the buffer package. This affects only environments where require('buffer') is the NPM buffer package. Buffer.isBuffer check can be bypassed, resulting in strange objects being accepted as a message, and those messages could trick verify() into returning false-positive true values. This issue has been patched in version 1.1.7.

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • tiny-secp256k1

    Версии
    • < 1.1.7: Затронуто

    Нет опубликованного исправления

  • tiny-secp256k1 npm

    Затронутые диапазоны версий
    • SEMVER: < 1.1.7

    Обновитесь до 1.1.7

Первоисточники

Проверьте свой сервер →