7.5 Élevée

CVE-2026-119187 Forge: Denial of service in TLS record processing via call stack exhaustion

Description

Forge (also called node-forge) is a native implementation of Transport Layer Security in JavaScript. Prior to 1.4.1, the affected implementation used forge.tls.createConnection(), TLS record processing, process() to process the relevant input or security decision. node-forge processed received TLS records recursively, consuming one JavaScript stack frame per record in a single input chunk. A remote peer could send thousands of small records together and exhaust the call stack, causing an uncaught exception and denial of service. This issue is fixed in version 1.4.1.

Détail CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Exploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque: Réseau
Complexité: Faible
Privilèges requis: Aucun
Interaction: Aucune
Portée: Inchangée
Confidentialité: Aucun
Intégrité: Aucun
Disponibilité: Élevé

Produits et versions touchés

Produit	Versions touchées	Corrigé en
forge 1.4	premières → < 1.4.1	1.4.1

Références

github.com github.com
github.com github.com
github.com github.com

Chronologie

Publiée 29 octobre 2026
Dernière modification 4 novembre 2026

Les 25 CVE de forge →

CVE-2026-119191 Forge: ASN.1 resource exhaustion via BIT STRING decoding in asn1.fromDer 7.5 Élevée CVE-2026-119190 Forge (also called node-forge) is a native implementation of Transport Layer Security in JavaScript 7.4 Élevée CVE-2026-119189 Forge (also called node-forge) is a native implementation of Transport Layer Security in JavaScript 5.9 Moyenne CVE-2026-119188 Forge (also called node-forge) is a native implementation of Transport Layer Security in JavaScript 7.5 Élevée

Suivre cette CVE