p PatchFirst

CVE-2026-4258

CVE-2026-4258

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Versions of the package sjcl before 1.0.9 are vulnerable to Improper Verification of Cryptographic Signature due to missing point-on-curve validation in sjcl.ecc.basicKey.publicKey(). An attacker can recover a victim's ECDH private key by sending crafted off-curve public keys and observing ECDH outputs. The dhJavaEc() function directly returns the raw x-coordinate of the scalar multiplication result (no hashing), providing a plaintext oracle without requiring any decryption feedback.

CVSS 8.7 · Élevée · EPSS 0,3% · Correctif disponible

Publication
Mise à jour

Pile logicielle: node

Produits et versions concernés

  • sjcl

    Versions du logiciel
    • ≥ 0, < 1.0.9: Concernée (semver)

    Mettez à jour vers 1.0.9

  • org.webjars.npm:sjcl

    Versions du logiciel
    • ≥ 0: Concernée (semver)

    Aucun correctif publié

  • sjcl npm

    Plages de versions concernées
    • SEMVER: < 1.0.9

    Mettez à jour vers 1.0.9

Sources originales

Vérifiez votre serveur →