p PatchFirst

CVE-2026-48815

CVE-2026-48815 · sigstore-js: `certificateOIDs` verification constraints are silently dropped and never enforced

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

sigstore-js provides JavaScript libraries for interacting with Sigstore services. Prior to 4.1.1, the documented certificateOIDs option in sigstore.verify() is accepted by the public API but discarded before verification, so required certificate extension OIDs are never checked and applications relying on certificateOIDs to restrict which certificates may sign artifacts can accept unauthorized certificates. This issue is fixed in version 4.1.1.

CVSS 7.5 · Высокий · EPSS 0,2% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • sigstore-js

    Версии
    • < 4.1.1: Затронуто

    Нет опубликованного исправления

  • sigstore npm

    Затронутые диапазоны версий
    • SEMVER: < 4.1.1

    Обновитесь до 4.1.1

Первоисточники

Проверьте свой сервер →