फोर्ज में इसके प्रमाणपत्र श्रृंखला सत्यापन में एक बेसिककॉन्स्ट्रेंट्स बाईपास है (RFC 5280 उल्लंघन)

forge में CVE-2026-33896 अनुमति देता है कि basicConstraints और keyUsage एक्सटेंशन की कमी वाले लीफ प्रमाणपत्र प्रमाणन प्राधिकरण (CA) के रूप में कार्य करें। pki.verifyCertificateChain() फ़ंक्शन RFC 5280 के बुनियादी प्रतिबंधों को लागू नहीं करता है जब एक मध्यवर्ती प्रमाणपत्र में ये एक्सटेंशन नहीं होते हैं। इसका मतलब है कि एक लीफ प्रमाणपत्र, भले ही इसे CA के रूप में डिज़ाइन न किया गया हो, अन्य प्रमाणपत्रों पर हस्ताक्षर कर सकता है, और node-forge उन्हें मान्य के रूप में स्वीकार करेगा। यह विश्वास श्रृंखला की अखंडता को कमजोर करता है और मैन-इन-द-मिडिल हमलों या नकली प्रमाणपत्रों के निर्माण को सक्षम कर सकता है।

Applications built on Node.js that rely on node-forge for certificate validation are at risk. This includes applications handling TLS connections, verifying digital signatures, or performing other certificate-based authentication. Specifically, applications that accept certificates from untrusted sources or have weak certificate validation policies are particularly vulnerable.

• nodejs:

Get-Process | Where-Object {$_.ProcessName -match 'node'}

• nodejs: Check for node-forge versions prior to 1.4.0 using npm list node-forge. • nodejs: Review application code for calls to pki.verifyCertificateChain() and assess the context of certificate validation. • generic web: Monitor server logs for errors related to certificate validation or unexpected certificate chains.

1. 2026-03-26Disclosure

   disclosure

1. आरक्षित2026-03-24
2. प्रकाशित2026-03-26
3. संशोधित2026-03-31
4. EPSS अद्यतन2026-04-04

समाधान forge को संस्करण 1.4.0 या उच्चतर में अपग्रेड करना है। यह संस्करण RFC 5280 के बुनियादी प्रतिबंधों को ठीक से लागू करके इस भेद्यता को ठीक करता है। यदि तत्काल अपग्रेड संभव नहीं है, तो अपने एप्लिकेशन में उपयोग किए जा रहे सभी प्रमाणपत्रों की सावधानीपूर्वक समीक्षा करें और सुनिश्चित करें कि मध्यवर्ती प्रमाणपत्रों में basicConstraints और keyUsage एक्सटेंशन सही ढंग से कॉन्फ़िगर किए गए हैं। अपने एप्लिकेशन में अतिरिक्त सत्यापन लागू करने पर विचार करें ताकि उन पर भरोसा करने से पहले प्रमाणपत्रों की वैधता को सत्यापित किया जा सके।

अंतिम अपडेट

1.4.0हाल ही में