Entropía insuficiente en crypto-js

Fecha de publicación 10/08/2026

Identificador

INCIBE-2026-541

Importancia

5 - Crítica

Recursos Afectados

crypto-js, versiones anteriores a la 4.0.0.

Descripción

juli ha publicado una vulnerabilidad de severidad crítica, que en caso de ser explotada, podría permitir obtener las claves privadas de una cartera.

Solución

Actualizar a la versión 4.0.0.

Detalle

CVE-2026-71851: la función 'CryptoJS.lib.WordArray.random()' no es un generador de números aleatorios criptográficamente seguro. Un atacante podría enumerar el espacio de valores posibles para recuperar secretos generados mediante esta función, como frases de recuperación BIP39, lo que puede resultar en la recuperación de claves privadas y el robo de fondos.

CVE