PT-2026-27057 · Jsrsasign · Jsrsasign

Kr0Emer · CVE-2026-4601 · Publicado 2026-03-23 · Atualizado 2026-07-20

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas jsrsasign versões anteriores a 11.1.1

Description Uma etapa criptográfica ausente na implementação de assinatura DSA ocorre durante o processo KJUR.crypto.DSA.signWithMessageHash(). Um invasor pode recuperar a chave privada forçando as variáveis r ou s a serem zero, o que faz com que a biblioteca emita uma assinatura inválida sem tentar novamente. O invasor pode então resolver x usando a assinatura resultante para obter a chave privada.

Recommendations Atualize para a versão 11.1.1 ou posterior.

Exploit

Correção

Enumeração de Fraquezas

CWE-325

Identificadores relacionados

CVE-2026-4601

GHSA-W8Q8-93CX-6H7R

Produtos afetados

Jsrsasign

Referências · 28

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/4xxx/CVE-2026-4601.json · Exploit
• 🔥 https://gist.github.com/Kr0emer/93789fe6efe5519db9692d4ad1dad586 · Exploit
• https://github.com/kjur/jsrsasign/commit/0710e392ec35de697ce11e4219c988ba2b5fe0eb · Correção
• https://github.com/kjur/jsrsasign · Nota
• https://github.com/kjur/jsrsasign/pull/645 · Nota
• https://access.redhat.com/errata/RHSA-2026:19410 · Aviso do Fabricante
• https://access.redhat.com/security/cve/CVE-2026-4601 · Nota
• https://access.redhat.com/errata/RHSA-2026:6720 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-w8q8-93cx-6h7r · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2035976027483124216 · Publicação no Twitter
• https://t.me/cveNotify/171387 · Publicação no Telegram
• https://access.redhat.com/errata/RHSA-2026:6926 · Aviso do Fabricante
• https://security.snyk.io/vuln/SNYK-JS-JSRSASIGN-15370941 · Nota
• https://bugzilla.redhat.com/show_bug.cgi?id=2450209 · Nota
• https://twitter.com/zench4n/status/2037912349974339677 · Publicação no Twitter