CVE-2026-6967 in tough
Zusammenfassung
von VulDB • 17.05.2026
Das Fehlen von Ablaufdatum-, Hash- und Längenüberprüfungen bei der Validierung delegierter Metadaten in awslabs/tough vor der Version tough-v0.22.0 ermöglicht es entfernten, authentifizierten Benutzern mit delegierter Signierberechtigung, die Integritätsprüfungen der TUF-Spezifikation für delegierte Zielmetadaten zu umgehen und den lokalen Metadaten-Cache zu kompromittieren, da load_delegations nicht dieselben Validierungsprüfungen wie der Pfad für die Top-Level-Zielmetadaten anwendet.
Wir empfehlen, auf tough-v0.22.0 / tuftool-v0.15.0 zu aktualisieren.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.