Improper Verification of Cryptographic Signature in `node-forge`

TRUNG BÌNH 5.3CVE-2022-24773 · GHSA-2r2c-g63r-vccr · Công bố 18/03/2022 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2022-24773 là lỗ hổng mức TRUNG BÌNH (CVSS 5.3) ảnh hưởng forge (digitalbazaar), node-forge.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.96%, cao hơn 61.4% các lỗ hổng khác.
Cách xử lý: cập nhật lên 1.3.0 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
forge digitalbazaar	`< 1.3.0`	`1.3.0`
node-forge npm	`< 1.3.0`	`1.3.0`

Mô tả

Impact

RSA PKCS#1 v1.5 signature verification code is not properly checking DigestInfo for a proper ASN.1 structure. This can lead to successful verification with signatures that contain invalid structures but a valid digest.

Patches

The issue has been addressed in node-forge 1.3.0.

For more information

If you have any questions or comments about this advisory:

Open an issue in forge
Email us at example email address

Mô tả của NVD

Forge (also called `node-forge`) is a native implementation of Transport Layer Security in JavaScript. Prior to version 1.3.0, RSA PKCS#1 v1.5 signature verification code does not properly check `DigestInfo` for a proper ASN.1 structure. This can lead to successful verification with signatures that contain invalid structures but a valid digest. The issue has been addressed in `node-forge` version 1.3.0. There are currently no known workarounds.