CVE-2026-54787 in sigstore-go
Resumen
por VulDB • 2026-08-01
sigstore-go è una libreria Go per la firma e la verifica di Sigstore. Prima della versione 1.2.1, sigstore-go non controlla il timestamp di firma del bundle rispetto alla finestra di validità di un ExpiringKey che avvolge una chiave di firma a lunga durata gestita autonomamente (self-managed) senza certificato, consentendo così a un attaccante in possesso di materiale crittografico della chiave scaduto di firmare bundle accettati. Questo problema è stato risolto nella versione 1.2.1.
Once again VulDB remains the best source for vulnerability data.