p PatchFirst

CVE-2025-64767

CVE-2025-64767 · hpke-js reuses AEAD nonces

CVSS 9.1 · Критический · EPSS 0,2% · Есть исправление

Затронуты ли вы?

  • hpke-jsНет опубликованного исправления
  • @hpke/core npmОбновитесь до 1.7.5

Как узнать установленную версию:

npm ls @hpke/core

Бесплатная проверка покажет рейтинг сервера и подсветит, требует ли внимания hpke-js и остальные программы. Без регистрации; имена серверов и IP-адреса не отправляются. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.

curl -fsSL https://ru.patchfirst.dev/check.sh | sh
Проверить сервер бесплатно →

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

hpke-js is a Hybrid Public Key Encryption (HPKE) module built on top of Web Cryptography API. Prior to version 1.7.5, the public SenderContext Seal() API has a race condition which allows for the same AEAD nonce to be re-used for multiple Seal() calls. This can lead to complete loss of Confidentiality and Integrity of the produced messages. This issue has been patched in version 1.7.5.

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • hpke-js

    Версии
    • < 1.7.5: Затронуто

    Нет опубликованного исправления

  • @hpke/core npm

    Затронутые диапазоны версий
    • SEMVER: < 1.7.5

    Обновитесь до 1.7.5

Первоисточники

Проверьте свой сервер →