p PatchFirst

CVE-2026-4258

CVE-2026-4258

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Versions of the package sjcl before 1.0.9 are vulnerable to Improper Verification of Cryptographic Signature due to missing point-on-curve validation in sjcl.ecc.basicKey.publicKey(). An attacker can recover a victim's ECDH private key by sending crafted off-curve public keys and observing ECDH outputs. The dhJavaEc() function directly returns the raw x-coordinate of the scalar multiplication result (no hashing), providing a plaintext oracle without requiring any decryption feedback.

CVSS 8.7 · Hoch · EPSS 0,3% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: node

Betroffene Produkte und Versionen

  • sjcl

    Softwareversionen
    • ≥ 0, < 1.0.9: Betroffen (semver)

    Auf 1.0.9 aktualisieren

  • org.webjars.npm:sjcl

    Softwareversionen
    • ≥ 0: Betroffen (semver)

    Keine Korrektur veröffentlicht

  • sjcl npm

    Betroffene Versionsbereiche
    • SEMVER: < 1.0.9

    Auf 1.0.9 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →