p PatchFirst

CVE-2026-4258

CVE-2026-4258

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Versions of the package sjcl before 1.0.9 are vulnerable to Improper Verification of Cryptographic Signature due to missing point-on-curve validation in sjcl.ecc.basicKey.publicKey(). An attacker can recover a victim's ECDH private key by sending crafted off-curve public keys and observing ECDH outputs. The dhJavaEc() function directly returns the raw x-coordinate of the scalar multiplication result (no hashing), providing a plaintext oracle without requiring any decryption feedback.

CVSS 8.7 · Высокий · EPSS 0,3% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • sjcl

    Версии
    • ≥ 0, < 1.0.9: Затронуто (semver)

    Обновитесь до 1.0.9

  • org.webjars.npm:sjcl

    Версии
    • ≥ 0: Затронуто (semver)

    Нет опубликованного исправления

  • sjcl npm

    Затронутые диапазоны версий
    • SEMVER: < 1.0.9

    Обновитесь до 1.0.9

Первоисточники

Проверьте свой сервер →