CVE-2026-118779
Publiée le 2026-10-29 · Dernière modification le 2026-10-30
Node-forge (Forge) est une bibliothèque JavaScript utilisée pour implémenter le protocole Transport Layer Security (TLS) et gérer des opérations cryptographiques. Les versions antérieures à 1.4.1 contiennent une faille dans la manière dont la fonction `pem.decode()` traite les données encodées en PEM. Plus précisément, le logiciel utilise des expressions régulières inefficaces qui peuvent entrer dans un état de calcul excessif lors de la recherche de la fin d'un message malformé.
Un attaquant peut exploiter cette vulnérabilité en envoyant une chaîne PEM longue et spécialement conçue à toute partie de votre application utilisant cet analyseur. Cela consomme des ressources CPU excessives, entraînant un déni de service (DoS) qui rend le système indisponible pour les utilisateurs légitimes. L'attaque est relativement facile à exécuter car elle ne nécessite aucune authentification, aucune interaction de l'utilisateur, et peut être effectuée à distance via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Forge (also called node-forge) is a native implementation of Transport Layer Security in JavaScript. Prior to 1.4.1, the affected implementation used pem.decode(), lib/pem.js, missing END line to process the relevant input or security decision. node-forge used polynomial-time regular expressions in pem.decode(), including when searching for a matching END line and parsing encapsulated headers. An unauthenticated attacker able to supply PEM input to any high-level parser could consume excessive CPU with a long malformed message and cause denial of service. This issue is fixed in version 1.4.1.