secp256k1-js implements ECDSA without required r and s validation, leading to signature forgery

ÉLEVÉE 7.5CVE-2022-41340 · GHSA-q3f4-9h4p-vgr3 · Published 24/09/2022 · updated 17/06/2026

En bref

CVE-2022-41340 est une vulnérabilité ÉLEVÉE (CVSS 7.5) touchant secp256k1-js (secp256k1-js project), @lionello/secp256k1-js.
Probabilité d'exploitation dans les 30 prochains jours (EPSS) : 0.70%, plus élevée que 53.4% des vulnérabilités.
Correctif : mettre à jour vers 1.1.0 ou plus récent.

Package	Affected versions	Patched versions
secp256k1-js secp256k1-js_project	`< 1.1.0`	`1.1.0`
@lionello/secp256k1-js npm	`< 1.1.0`	`1.1.0`

The secp256k1-js package before 1.1.0 for Node.js implements ECDSA without required r and s validation, leading to signature forgery.

NVD description

The secp256k1-js package before 1.1.0 for Node.js implements ECDSA without required r and s validation, leading to signature forgery.

Running one of these products? Scan your site to see whether it exposes a vulnerable version.