CVE-2026-48815
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W bibliotece sigstore-js przed wersją 4.1.1 opcja certificateOIDs w funkcji sigstore.verify() jest akceptowana przez publiczne API, ale odrzucana przed weryfikacją. Oznacza to, że wymagane rozszerzenia certyfikatów nigdy nie są sprawdzane, a aplikacje polegające na certificateOIDs w celu ograniczenia, które certyfikaty mogą podpisywać artefakty, mogą akceptować nieautoryzowane certyfikaty.
Ocena ryzyka
Organizacja może zaakceptować podpisy od nieautoryzowanych certyfikatów, co prowadzi do naruszenia integralności i autentyczności artefaktów w łańcuchu dostaw oprogramowania.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę sigstore-js do wersji 4.1.1 lub nowszej, która zawiera poprawkę usuwającą tę lukę.
Inne podatności w sigstore-js
Zobacz wszystkie- CVE-2026-59891Krytyczne
W bibliotece sigstore-js przed wersją 0.7.1 funkcja getRegistryCredentials() odczytuje dane uwierzytelniające z pliku konfiguracyjnego Dockera i wybiera wpis na podstawie tego, czy skonfigurowany klucz auth zawiera docelowy ciąg rejestru. Ponieważ jest to dopasowanie podciągu, a nie dokładne dopasowanie hosta, dane uwierzytelniające skonfigurowane dla jednego rejestru mogą zostać wybrane i przesłane do innego rejestru, którego nazwa hosta ma relację podciągu ze skonfigurowanym kluczem auth.
- CVE-2026-48816Średnie
Podatność w bibliotece sigstore-js (wersje przed 3.1.1) pozwala atakującemu na manipulację znacznikiem czasu z dziennika przejrzystości (transparency log) dla wpisów typu inclusionProof-only w pakietach v0.2. Ponieważ ścieżka dowodu włączenia nie kryptograficznie wiąże znacznika czasu, atakujący może wpływać na decyzje dotyczące ważności certyfikatu i weryfikacji progów czasowych.
- CVE-2026-48758Średnie
Podatność w bibliotece sigstore-js (wersje przed 3.2.1) pozwala na modyfikację typu ładunku po podpisaniu bez unieważnienia podpisu, co narusza gwarancję wiązania typu w DSSE. Funkcja preAuthEncoding używa kodowania ASCII Node.js, co umożliwia manipulację polem payloadType.
Oryginalny opis (angielski, źródło NVD)
sigstore-js provides JavaScript libraries for interacting with Sigstore services. Prior to 4.1.1, the documented certificateOIDs option in sigstore.verify() is accepted by the public API but discarded before verification, so required certificate extension OIDs are never checked and applications relying on certificateOIDs to restrict which certificates may sign artifacts can accept unauthorized certificates. This issue is fixed in version 4.1.1.