CVE-2024-49364

tiny-secp256k1 kiçik bir secp256k1 native/JS wrapper-idir. Versiya 1.1.7-dən əvvəl, qlobal Buffer 'buffer' paketi olduqda, zərərli JSON-stringifiable obyektinin imzalanması zamanı gizli açar çıxarıla bilər. Bu, yalnız require('buffer') NPM buffer paketi olan mühitləri təsir edir. Buffer.isBuffer yoxlamasından yan keçmək mümkündür və bu, müxtəlif mesajlar üçün k-nin təkrar istifadəsinə səbəb olur ki, nəticədə tək bir etibarsız mesaj vasitəsilə (və hər hansı mesaj/imzanın götürülə bildiyi ikinci bir mesajla, məsələn, əvvəlcədən məlum olan etibarlı imza ilə) gizli açarın çıxarılması baş verir. Bu problem versiya 1.1.7-də aradan qaldırılmışdır.