FICHE CVE

CVE-2026-4599

Publiée le 2026-03-23 · Dernière modification le 2026-09-10

🇫🇷 EN BREF

Les applications utilisant la bibliothèque JavaScript `jsrsasign` (versions 7.0.0 à 11.1.1) pour les signatures numériques sont concernées. Un attaquant peut récupérer la clé privée d'un système en analysant des signatures biaisées, ce qui lui permet d'usurper l'identité du serveur ou de forger des messages authentifiés. Cette action peut être exécutée à distance via le réseau, sans nécessiter d'authentification ni d'interaction de l'utilisateur.

CVSS 4.09.3 CRITIQUE

Type de faiblesse

CWE-1023 CWE-338

Publiée2026-03-23

Dernière modification2026-09-10

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Versions of the package jsrsasign from 7.0.0 and before 11.1.1 are vulnerable to Incomplete Comparison with Missing Factors via the getRandomBigIntegerZeroToMax and getRandomBigIntegerMinToMax functions in src/crypto-1.1.js; an attacker can recover the private key by exploiting the incorrect compareTo checks that accept out-of-range candidates and thus bias DSA nonces during signature generation.