JVNVU#90064104
JavaScriptライブラリ「Forge」における署名検証不備の脆弱性

JavaScriptライブラリ「Forge」には、署名検証がバイパスされる脆弱性が存在します。

• Forge 1.3.2より前のバージョン

JavaScriptライブラリForge（npmパッケージではnode-forgeとして利用可能）はTLSおよびその他の様々な暗号処理の機能を提供しています。 Forgeにはメッセージ認証コード（MAC）データなどのフィールドについて細工されたASN.1構造のデータを処理する際に、署名検証がバイパスされる脆弱性（CVE-2025-12816、CWE-436）が存在します。

攻撃者により認証をバイパスされたり、署名済みデータを改ざんされたりする可能性があります。

アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。