3.7 Faible

CVE-2026-118780 Forge: verifyCertificateChain() removes trusted CA certificates with the same subject from the CA store

Description

Forge (also called node-forge) is a native implementation of Transport Layer Security in JavaScript. Prior to 1.4.1, the affected implementation used pki.verifyCertificateChain(), pki.createCaStore(), duplicate subject names to process the relevant input or security decision. node-forge modified the CA store while trying certificates that shared a subject name during pki.verifyCertificateChain(). A failed chain verification could permanently remove trusted CA certificates from the store, causing later valid chains to fail and creating a persistent availability impact for applications that reused the store. This issue is fixed in version 1.4.1.

Détail CVSS 3.1

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L

Exploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; l’impact sur les données ou le service reste limité.

Vecteur d’attaque: Réseau
Complexité: Élevée
Privilèges requis: Aucun
Interaction: Aucune
Portée: Inchangée
Confidentialité: Aucun
Intégrité: Aucun
Disponibilité: Faible

Produits et versions touchés

Produit	Versions touchées	Corrigé en
forge 1.4	premières → < 1.4.1	1.4.1

Références

github.com github.com
github.com github.com
github.com github.com

Chronologie

Publiée 29 octobre 2026
Dernière modification 4 novembre 2026

Les 25 CVE de forge →

CVE-2026-119191 Forge: ASN.1 resource exhaustion via BIT STRING decoding in asn1.fromDer 7.5 Élevée CVE-2026-119190 Forge (also called node-forge) is a native implementation of Transport Layer Security in JavaScript 7.4 Élevée CVE-2026-119189 Forge (also called node-forge) is a native implementation of Transport Layer Security in JavaScript 5.9 Moyenne CVE-2026-119188 Forge (also called node-forge) is a native implementation of Transport Layer Security in JavaScript 7.5 Élevée

Suivre cette CVE