p PatchFirst

CVE-2026-33891

CVE-2026-33891 · Forge has Denial of Service via Infinite Loop in BigInteger.modInverse() with Zero Input

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Forge (also called `node-forge`) is a native implementation of Transport Layer Security in JavaScript. Prior to version 1.4.0, a Denial of Service (DoS) vulnerability exists in the node-forge library due to an infinite loop in the BigInteger.modInverse() function (inherited from the bundled jsbn library). When modInverse() is called with a zero value as input, the internal Extended Euclidean Algorithm enters an unreachable exit condition, causing the process to hang indefinitely and consume 100% CPU. Version 1.4.0 patches the issue.

CVSS 7.5 · Alta · EPSS 0,6% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system · node

Productos y versiones afectados

  • forge

    Versiones
    • < 1.4.0: Afectada

    Sin corrección publicada

  • node-forge npm

    Intervalos de versiones afectados
    • SEMVER: < 1.4.0

    Actualiza a 1.4.0

  • node-node-forge Ubuntu:20.04:LTS

    Versiones
    • 0.8.5~dfsg-2
    • 0.9.1~dfsg-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-node-forge Ubuntu:22.04:LTS

    Versiones
    • 0.10.0~dfsg-3
    • 1.2.1~dfsg-2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →