CVE-2026-125336— Forge X.509 nameConstraints 验证绕过漏洞
一分钟漏洞结论
影响对象
digitalbazaar forge
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Forge（也称为 node-forge）是一个用 JavaScript 原生实现的传输层安全（TLS）库。在 1.4.3 版本之前， 中的 函数在验证证书链时，未对 X.509 的 扩展进行解码或强制执行。因此，一个带有非关键 扩展的证书颁发机构（CA）可以签发其主题备用名称（subjectAltName）中的 或主题通用名称（subject commonName）超出允许子树、或落入排除子树的终端证书，而 node-forge 仍会接受该证书链。 利用此漏洞需要满足以下条件：该受限 CA 必须链向一个受信任的根
影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| digitalbazaar | forge | < 1.4.3 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-125336 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Forge: X.509 nameConstraints not enforced by verifyCertificateChain()
来源: CVE Program / CVE List V5
Vulnerability Description
Forge (also called node-forge) is a native implementation of Transport Layer Security in JavaScript. Prior to 1.4.3, pki.verifyCertificateChain() in lib/x509.js does not decode or enforce the X.509 nameConstraints extension while validating certificate paths. A name-constrained certificate authority with a non-critical extension can therefore issue a leaf certificate with a subjectAltName dNSName or subject commonName outside a permitted subtree or inside an excluded subtree, and node-forge accepts the chain. Exploitation requires a name-constrained CA that chains to a trusted root and either its private key or the ability to obtain an out-of-scope certificate, allowing impersonation of names outside the delegated namespace, including against forge.tls clients. Chains without nameConstraints are not affected, and affected versions safely reject critical nameConstraints as unsupported rather than accepting them. This issue is fixed in version 1.4.3.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
证书验证不恰当
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| digitalbazaar | forge | < 1.4.3 | - |
|
二、漏洞 CVE-2026-125336 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-125336 的情报信息
请登录查看更多情报信息。
CVE-2026-125336 其他参考 (5)
-
https://github.com/digitalbazaar/forge/pull/1169 x_refsource_MISC
-
https://github.com/digitalbazaar/forge/releases/tag/v1.4.3 x_refsource_MISC
-
https://github.com/digitalbazaar/forge/security/advisories/GHSA-3cc4-3294-vgjf x_refsource_CONFIRM
同批安全公告 · digitalbazaar · 2026-11-10 · 共 5 条
| CVE-2026-125332 | 5.9 MEDIUM | Forge TLS 客户端因不支持的压缩方法崩溃漏洞 |
| CVE-2026-125333 | 5.9 MEDIUM | Forge 正则拒绝服务漏洞 |
| CVE-2026-125334 | 5.9 MEDIUM | Forge TLS 客户端握手记录崩溃漏洞 |
| CVE-2026-125335 | 3.7 LOW | Forge Ed25519 小阶公钥签名验证漏洞 |