PT-2025-48075 · Unknown+1 · Node-Forge+1

Wodzen · Publicado 2025-11-25 · Atualizado 2026-04-01 · CVE-2025-12816

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas node-forge versões 1.3.1 e anteriores

Descrição Existe um problema de conflito de interpretação no node-forge. Atacantes não autenticados podem criar estruturas ASN.1 específicas que comprometem as validações de esquema. Isso pode levar a uma divergência na interpretação dos dados, potencialmente contornando verificações criptográficas e medidas de segurança.

Recomendações Atualize o node-forge para uma versão posterior à 1.3.1.

Correção

Enumeração de Fraquezas

CWE-436

CWE-670

Identificadores relacionados

AZL-71125

BDU:2025-15402

CVE-2025-12816

GHSA-5GFM-WPXJ-WJGQ

OPENSUSE-SU-2026:20177-1

SUSE-SU-2026:0628-1

SUSE-SU-2026:0630-1

SUSE-SU-2026:1008-1

SUSE-SU-2026:1013-1

SUSE-SU-2026:1035-1

SUSE-SU-2026:20232-1

Produtos afetados

Debian

Node-Forge

Referências · 96

• https://github.com/digitalbazaar/forge · Nota
• https://github.com/digitalbazaar/forge/blob/2bb97afb5058285ef09bcf1d04d6bd6b87cffd58/lib/x509.js#L667 · Nota
• https://github.com/digitalbazaar/forge/security/advisories/GHSA-5gfm-wpxj-wjgq · Aviso do Fabricante
• https://github.com/digitalbazaar/forge/blob/2bb97afb5058285ef09bcf1d04d6bd6b87cffd58/lib/ed25519.js#L81 · Nota
• https://github.com/digitalbazaar/forge/blob/2bb97afb5058285ef09bcf1d04d6bd6b87cffd58/lib/asn1.js#L1153 · Nota
• https://github.com/digitalbazaar/forge/pull/1124 · Correção
• https://github.com/digitalbazaar/forge/blob/2bb97afb5058285ef09bcf1d04d6bd6b87cffd58/lib/pbe.js#L363 · Nota
• https://github.com/digitalbazaar/forge/blob/2bb97afb5058285ef09bcf1d04d6bd6b87cffd58/lib/rsa.js#L1167 · Nota
• https://github.com/digitalbazaar/forge/blob/2bb97afb5058285ef09bcf1d04d6bd6b87cffd58/lib/pkcs7.js#L90 · Nota
• https://github.com/digitalbazaar/forge/blob/2bb97afb5058285ef09bcf1d04d6bd6b87cffd58/lib/pkcs12.js#L328 · Nota
• https://github.com/microsoft/azurelinux/pull/15208 · Nota
• https://bugzilla.suse.com/1253966 · Nota
• https://twitter.com/CveFindCom/status/1993495262539501987 · Publicação no Twitter
• https://suse.com/security/cve/CVE-2026-21721 · Nota
• https://kb.cert.org/vuls/id/521113 · Nota