Versions of the package jsrsasign before 11.1.1 are vulnerable to Division by zero due to the RSASetPublic/KEYUTIL parsing path in ext/rsa.js and the BigInteger.modPowInt reduction logic in ext/jsbn.js. An attacker can force RSA public-key operations (e.g., verify and encryption) to collapse to deterministic zero outputs and hide “invalid key” errors by supplying a JWK whose modulus decodes to zero.
CVE-2026-4603 is a division by zero vulnerability in jsrsasign versions before 11.1.1 affecting RSA public-key operations through malformed JWK modulus values. An attacker can force cryptographic operations to produce deterministic zero outputs, potentially bypassing signature verification and encryption security controls.
تؤثر هذه الثغرة على مكتبة jsrsasign وتسمح للمهاجمين بتوفير قيم JWK معيبة بـ modulus صفري. يمكن للهجوم أن يسبب فشل التحقق من التوقيع بصمت أو إنتاج مخرجات قابلة للتنبؤ من التشفير، مما يعرض المصادقة والسرية للخطر.
This vulnerability in jsrsasign library affects RSA cryptographic operations by allowing attackers to supply specially crafted JWK values with zero modulus. The flaw can cause signature verification to fail silently or encryption to produce predictable outputs, compromising authentication and confidentiality.
Immediately upgrade jsrsasign to version 11.1.1 or later. Implement input validation to reject JWK objects with zero or invalid modulus values before processing. Add cryptographic operation result validation to detect and reject zero outputs from RSA operations.
قم بترقية jsrsasign فوراً إلى الإصدار 11.1.1 أو أحدث. طبق التحقق من صحة المدخلات لرفض كائنات JWK ذات قيم modulus صفرية أو غير صالحة قبل المعالجة. أضف التحقق من نتائج العمليات التشفيرية لكشف ورفض المخرجات الصفرية من عمليات RSA.