p PatchFirst

CVE-2026-119187

CVE-2026-119187 · Forge: Denial of service in TLS record processing via call stack exhaustion

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Forge (also called node-forge) is a native implementation of Transport Layer Security in JavaScript. Prior to 1.4.1, the affected implementation used forge.tls.createConnection(), TLS record processing, process() to process the relevant input or security decision. node-forge processed received TLS records recursively, consuming one JavaScript stack frame per record in a single input chunk. A remote peer could send thousands of small records together and exhaust the call stack, causing an uncaught exception and denial of service. This issue is fixed in version 1.4.1.

CVSS 7.5 · Высокий · EPSS 0,4% · Публичный эксплойт · Есть исправление

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • forge

    Версии
    • < 1.4.1: Затронуто

    Нет опубликованного исправления

  • node-forge npm

    Затронутые диапазоны версий
    • SEMVER: < 1.4.1

    Обновитесь до 1.4.1

  • node-node-forge Ubuntu:20.04:LTS

    Версии
    • 0.8.5~dfsg-2
    • 0.9.1~dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-node-forge Ubuntu:22.04:LTS

    Версии
    • 0.10.0~dfsg-3
    • 1.2.1~dfsg-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →