Zaloguj się
Deutsch English Español Polski
Wysoka

jsrsasign: Missing cryptographic validation during DSA signing enables private key extraction

  • Ujawniono: 23.03.2026
  • Aktualizacja: 11.10.2026 10:22

Versions of the package jsrsasign before 11.1.1 are vulnerable to Missing Cryptographic Step via the KJUR.crypto.DSA.signWithMessageHash process in the DSA signing implementation. An attacker can recover the private key by forcing r or s to be zero, so the library emits an invalid signature without retrying, and then solves for x from the resulting signature.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm jsrsasign < 11.1.1 11.1.1

Odnośniki

Ocena CVSS 8.7/10
Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N
Słabość (CWE)
CWE-325
Platforma
npm
Paczka
jsrsasign
Ujawniono
23.03.2026
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-w8q8-93cx-6h7r - CC BY 4.0

Historia podatności: jsrsasign

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (14) w archiwum
Wszystkich wpisów
14
Pierwsza → ostatnia
06.2020 03.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 4
  • Wysoka 7
  • Średnia 2
  • Niska 1

Ujawnienia w latach

Istotność:
  1. jsrsasign: DSA signatures or X.509 certificates can be forged via DSA domain-parameter validation in KJUR.crypto.DSA.setPublic
    Wysoka · 7.4 CVE-2026-4600 < 11.1.1 11.1.1
  2. jsrsasign: Negative Exponent Handling Leads to Signature Verification Bypass
    Wysoka · 7.5 CVE-2026-4602 < 11.1.1 11.1.1
  3. jsrsasign: Incomplete Comparison Allows DSA Private Key Recovery via Biased Nonce Generation
    Krytyczna · 9.1 CVE-2026-4599 >= 7.0.0, < 11.1.1 11.1.1
  4. jsrsasign is vulnerable to DoS through Infinite Loop when processing zero or negative inputs
    Wysoka · 7.5 CVE-2026-4598 < 11.1.1 11.1.1
  5. jsrsasign: Missing cryptographic validation during DSA signing enables private key extraction ten wpis
    Wysoka · 8.7 CVE-2026-4601 < 11.1.1 11.1.1
  6. Marvin Attack of RSA and RSAOAEP decryption in jsrsasign
    Wysoka · 7.5 CVE-2024-21484 < 11.0.0 11.0.0
  7. JWS and JWT signature validation vulnerability with special characters
    Wysoka · 8.6 CVE-2022-25898 >= 4.8.0, < 10.5.25 10.5.25
  8. RSA signature validation vulnerability on maleable encoded message in jsrsasign
    Krytyczna · 9.1 CVE-2021-30246 < 10.2.0 10.2.0
  9. ECDSA signature validation vulnerability by accepting wrong ASN.1 encoding in jsrsasign
    Wysoka · 7.5 CVE-2020-14966 >= 4.0.0, < 8.0.19 8.0.19
  10. RSA PKCS#1 decryption vulnerability with prepending zeros in jsrsasign
    Krytyczna · 9.8 CVE-2020-14967 < 8.0.18 8.0.18
  11. RSA-PSS signature validation vulnerability by prepending zeros in jsrsasign
    Krytyczna · 9.8 CVE-2020-14968 >= 3.0.0, < 8.0.17 8.0.17

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.