OpenPGP.js 关键漏洞：伪造签名威胁
2025-06-10
Codean Labs发现OpenPGP.js库中存在一个严重漏洞（CVE-2025-47934），允许攻击者伪造任意签名。攻击者利用现有有效签名，通过添加恶意数据包，使OpenPGP.js验证器错误地将恶意数据识别为签名数据，从而实现签名伪造。该漏洞影响多个基于web的邮件客户端，风险等级为critical。v5.11.3和v6.1.1版本已修复该漏洞，建议立即更新。