PT-2026-3893 · Sm-Crypto · Sm-Crypto

Xlabaiteam · CVE-2026-23966 · Publicado 2026-01-21 · Atualizado 2026-02-25

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do sm-crypto anteriores à 0.3.14

Descrição O sm-crypto, uma biblioteca JavaScript que fornece implementações dos algoritmos criptográficos chineses SM2, SM3 e SM4, contém uma falha na lógica de descriptografia SM2. Um atacante pode recuperar a chave privada interagindo repetidamente com a interface de descriptografia SM2, necessitando de aproximadamente várias centenas de interações. Este problema pode comprometer a confidencialidade.

Recomendações Versões anteriores à 0.3.14 devem ser atualizadas para a versão 0.3.14 ou superior.

Exploit

Correção

Insufficient Verification of Data Authenticity

Enumeração de Fraquezas

CWE-345

Identificadores relacionados

CVE-2026-23966

GHSA-PGX9-497M-6C4V

Produtos afetados

Sm-Crypto

Referências · 18

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/23xxx/CVE-2026-23966.json · Exploit
• https://github.com/JuneAndGreen/sm-crypto · Nota
• https://github.com/JuneAndGreen/sm-crypto/commit/b1c824e58fdf1eaa73692c124a095819a8c45707 · Correção
• https://github.com/JuneAndGreen/sm-crypto/security/advisories/GHSA-pgx9-497m-6c4v · Aviso do Fabricante
• https://twitter.com/cracbot/status/2016103977553953053 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-pgx9-497m-6c4v · Aviso do Fabricante
• https://twitter.com/0dayPublishing/status/2014166434784444684 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2014182487392768407 · Publicação no Twitter
• https://t.me/CVEtracker/42723 · Publicação no Telegram
• https://twitter.com/CveFindCom/status/2014181122343624855 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2014243498623488097 · Publicação no Twitter
• https://t.me/cveNotify/153163 · Publicação no Telegram
• https://twitter.com/_cvereports/status/2014248533902213559 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-23966 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-23966 · Aviso do Fabricante