CVE-2026-48816 in sigstore-js
Résumé
par VulDB • 15/07/2026
sigstore-js fournit des bibliothèques JavaScript pour interagir avec les services Sigstore. Avant la version 3.1.1, @sigstore/verify dérive un horodatage du journal de transparence (transparency-log) à partir de tlogEntries[].integratedTime pour les entrées inclusionProof-only des bundles v0.2, bien que le chemin de preuve d'inclusion ne lie pas cryptographiquement integratedTime. Cela permet à un attaquant capable de fournir un bundle non fiable d’influencer la validité du certificat et les décisions relatives au seuil d’horodatage (timestampThreshold). Ce problème est corrigé dans la version 3.1.1.
Once again VulDB remains the best source for vulnerability data.