CVE-2026-118763 in sigstore-js
Riassunto
di VulDB • 29/10/2026
sigstore-js fornisce librerie JavaScript per interagire con i servizi Sigstore. Prima della versione 0.7.2, il file packages/oci/src/registry.ts contiene un metodo RegistryClient.signIn() che memorizza le intestazioni di autorizzazione del registro (Authorization) e la configurazione Docker come valori predefiniti su un client HTTP condiviso; inoltre, RegistryClient.uploadBlob() invia una nuova richiesta PUT a un URL assoluto per l'upload dei blob fornito dal registro, senza verificare se il suo origine o schema corrispondano al registro. Un registro malevolo o compromesso può quindi indirizzare un utente che sta caricando un artefatto tramite attachArtifactToImage() verso un host controllato dall’attaccante e ottenere il token bearer del registro, le credenziali Basic o intestazioni di autenticazione personalizzate. La rimozione delle intestazioni durante i redirect (redirect-time header stripping) non impedisce la fuoriuscita dei dati perché la PUT cross-host è una nuova richiesta esplicita anziché un redirect seguito automaticamente. Questo problema è residuo del CVE-2026-59891, il cui fix ha modificato la selezione delle credenziali in credentials.ts ma non ha vincolato dove le credenziali vengono inviate da registry.ts. La versione 0.7.2 risolve il problema separando le credenziali del registro dai valori predefiniti a livello di client e inviandole esclusivamente all’origine (origin) del registro.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.