p PatchFirst

CVE-2026-48815

CVE-2026-48815 · sigstore-js: `certificateOIDs` verification constraints are silently dropped and never enforced

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

sigstore-js provides JavaScript libraries for interacting with Sigstore services. Prior to 4.1.1, the documented certificateOIDs option in sigstore.verify() is accepted by the public API but discarded before verification, so required certificate extension OIDs are never checked and applications relying on certificateOIDs to restrict which certificates may sign artifacts can accept unauthorized certificates. This issue is fixed in version 4.1.1.

CVSS 7.5 · Hoch · EPSS 0,2% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: node

Betroffene Produkte und Versionen

  • sigstore-js

    Softwareversionen
    • < 4.1.1: Betroffen

    Keine Korrektur veröffentlicht

  • sigstore npm

    Betroffene Versionsbereiche
    • SEMVER: < 4.1.1

    Auf 4.1.1 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →