sm-crypto Affected by Signature Malleability in SM2-DSA

CAO 7.5CVE-2026-23967 · GHSA-qv7w-v773-3xqm · Công bố 22/01/2026 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2026-23967 là lỗ hổng mức CAO (CVSS 7.5) ảnh hưởng sm-crypto (juneandgreen), sm-crypto.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.21%, cao hơn 11.3% các lỗ hổng khác.
Cách xử lý: cập nhật lên 0.3.14 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
sm-crypto juneandgreen	`< 0.3.14`	`0.3.14`
sm-crypto npm	`< 0.3.14`	`0.3.14`

Mô tả

Summary

A signature malleability vulnerability exists in the SM2 signature verification logic of the sm-crypto library. An attacker can derive a new valid signature for a previously signed message from an existing signature.

Credit

This vulnerability was discovered by:

XlabAI Team of Tencent Xuanwu Lab
Atuin Automated Vulnerability Discovery Engine

Mô tả của NVD

sm-crypto provides JavaScript implementations of the Chinese cryptographic algorithms SM2, SM3, and SM4. A signature malleability vulnerability exists in the SM2 signature verification logic of the sm-crypto library prior to version 0.3.14. An attacker can derive a new valid signature for a previously signed message from an existing signature. Version 0.3.14 patches the issue.