p PatchFirst

CVE-2026-4258

CVE-2026-4258

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Versions of the package sjcl before 1.0.9 are vulnerable to Improper Verification of Cryptographic Signature due to missing point-on-curve validation in sjcl.ecc.basicKey.publicKey(). An attacker can recover a victim's ECDH private key by sending crafted off-curve public keys and observing ECDH outputs. The dhJavaEc() function directly returns the raw x-coordinate of the scalar multiplication result (no hashing), providing a plaintext oracle without requiring any decryption feedback.

CVSS 8.7 · Alta · EPSS 0,3% · Corrección disponible

Publicación
Actualización

Pila tecnológica: node

Productos y versiones afectados

  • sjcl

    Versiones
    • ≥ 0, < 1.0.9: Afectada (semver)

    Actualiza a 1.0.9

  • org.webjars.npm:sjcl

    Versiones
    • ≥ 0: Afectada (semver)

    Sin corrección publicada

  • sjcl npm

    Intervalos de versiones afectados
    • SEMVER: < 1.0.9

    Actualiza a 1.0.9

Fuentes originales

Comprueba tu servidor →