PT-2025-22082 · Unknown · Openpgp.Js

Codeanio

·

Publicado

2025-05-19

·

Atualizado

2026-06-04

·

CVE-2025-47934

CVSS v4.0

8.7

Alta

VetorAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
Nome do Software Vulnerável e Versões Afetadas OpenPGP.js versões 5.0.1 a 5.11.2 OpenPGP.js versões 6.0.0 a 6.1.0
Descrição Uma mensagem modificada de forma maliciosa pode ser passada para openpgp.verify ou openpgp.decrypt, fazendo com que essas funções retornem um resultado de verificação de assinatura válido, ao mesmo tempo que retornam dados que não foram realmente assinados. Esta falha permite que verificações de assinatura de mensagens assinadas inline e mensagens assinadas e criptografadas sejam forjadas. O atacante precisa de uma única assinatura de mensagem válida e dos dados em texto claro que foram legitimamente assinados para construir uma mensagem forjada. Mais de 4.000 sites ainda estão carregando arquivos OpenPGP.js vulneráveis, afetando front-ends de criptografia e carteiras de criptomoedas.
Recomendações Para as versões 5.0.1 a 5.11.2 do OpenPGP.js, atualize para a versão 5.11.3. Para as versões 6.0.0 a 6.1.0 do OpenPGP.js, atualize para a versão 6.1.1. Como solução temporária, ao verificar mensagens assinadas inline, extraia a mensagem e a(s) assinatura(s) da mensagem retornada por openpgp.readMessage e verifique a assinatura como uma assinatura destacada, passando a assinatura e uma nova mensagem contendo apenas os dados para openpgp.verify. Ao descriptografar e verificar mensagens assinadas e criptografadas, descriptografe e verifique a mensagem em duas etapas, primeiro chamando openpgp.decrypt sem verificationKeys e, em seguida, passando a(s) assinatura(s) retornada(s) e uma nova mensagem contendo os dados descriptografados para openpgp.verify.

Exploit

Correção

Improper Verification of Cryptographic Signature

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BDU:2026-00782
CVE-2025-47934
GHSA-8QFF-QR5Q-5PR8

Produtos afetados

Openpgp.Js