Forgeには、証明書チェーン検証におけるbasicConstraintsバイパスの脆弱性があります (RFC 5280違反)

Forge（`node-forge`とも呼ばれます）は、JavaScriptにおけるTransport Layer Securityのネイティブ実装です。バージョン1.4.0より前の`pki.verifyCertificateChain()`は、中間証明書に`basicConstraints`拡張と`keyUsage`拡張の両方が存在しない場合、RFC 5280 basicConstraintsの要件を強制しません。これにより、任意のリーフ証明書（これらの拡張機能がないもの）がCAとして機能し、他の証明書に署名できるようになり、node-forgeはそれを有効として受け入れます。バージョン1.4.0でこの問題は修正されました。