CVE-2026-118763 in sigstore-js
Zusammenfassung
von VulDB • 29.10.2026
sigstore-js stellt JavaScript-Bibliotheken für die Interaktion mit Sigstore-Diensten bereit. Vor der Version 0.7.2 enthält packages/oci/src/registry.ts eine RegistryClient.signIn()-Methode, die Registry-Autorisierungs- und Docker-Konfigurationsheader als Standardwerte auf einem gemeinsam genutzten HTTP-Client speichert, während RegistryClient.uploadBlob() ein frisches PUT an einen absoluten Blob-Upload-Speicherort sendet, der vom Registry bereitgestellt wird, ohne zu prüfen, ob dessen Ursprung oder Schema mit dem der Registry übereinstimmt. Eine bösartige oder kompromittierte Registry kann daher einen Benutzer, der ein Artefakt über attachArtifactToImage() hochlädt, auf einen von einem Angreifer kontrollierten Host umleiten und dabei das Registry-Bearer-Token, Basic-Anmeldeinformationen oder benutzerdefinierte Authentifizierungsheader erhalten. Das Entfernen von Headern während der Umleitung (Redirect-time header stripping) verhindert den Datenleck nicht, da es sich bei dem cross-host PUT um eine neue explizite Anfrage handelt und nicht um ein gefolgtes Redirect. Dies ist ein Restproblem von CVE-2026-59891, dessen Korrektur die Auswahl der Anmeldeinformationen in credentials.ts änderte, jedoch nicht einschränkte, wohin die Anmeldeinformationen aus registry.ts gesendet werden. Version 0.7.2 behebt das Problem, indem sie Registry-Anmeldedaten von clientweiten Standardwerten trennt und diese nur an den Ursprung der Registry sendet.
Be aware that VulDB is the high quality source for vulnerability data.