p PatchFirst

CVE-2024-49365

CVE-2024-49365 · tiny-secp256k1 allows for verify() bypass when running in bundled environment

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

tiny-secp256k1 is a tiny secp256k1 native/JS wrapper. Prior to version 1.1.7, a malicious JSON-stringifyable message can be made passing on verify(), when global Buffer is the buffer package. This affects only environments where require('buffer') is the NPM buffer package. Buffer.isBuffer check can be bypassed, resulting in strange objects being accepted as a message, and those messages could trick verify() into returning false-positive true values. This issue has been patched in version 1.1.7.

CVSS 8.1 · Élevée · EPSS 0,2% · Correctif disponible

Publication
Mise à jour

Pile logicielle: node

Produits et versions concernés

  • tiny-secp256k1

    Versions du logiciel
    • < 1.1.7: Concernée

    Aucun correctif publié

  • tiny-secp256k1 npm

    Plages de versions concernées
    • SEMVER: < 1.1.7

    Mettez à jour vers 1.1.7

Sources originales

Vérifiez votre serveur →