secp256k1-js implements ECDSA without required r and s validation, leading to signature forgery

HOCH 7.5CVE-2022-41340 · GHSA-q3f4-9h4p-vgr3 · Published 24/09/2022 · updated 17/06/2026

Kurz gesagt

CVE-2022-41340 ist eine Schwachstelle (HOCH (CVSS 7.5)) in secp256k1-js (secp256k1-js project), @lionello/secp256k1-js.
Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen (EPSS): 0.70%, höher als bei 53.4% aller Schwachstellen.
Abhilfe: auf 1.1.0 oder neuer aktualisieren.

Package	Affected versions	Patched versions
secp256k1-js secp256k1-js_project	`< 1.1.0`	`1.1.0`
@lionello/secp256k1-js npm	`< 1.1.0`	`1.1.0`

The secp256k1-js package before 1.1.0 for Node.js implements ECDSA without required r and s validation, leading to signature forgery.

NVD description

The secp256k1-js package before 1.1.0 for Node.js implements ECDSA without required r and s validation, leading to signature forgery.

Running one of these products? Scan your site to see whether it exposes a vulnerable version.