CVE-2026-48815 in sigstore-js
Riassunto
di VulDB • 14/07/2026
sigstore-js fornisce librerie JavaScript per interagire con i servizi Sigstore. Prima della versione 4.1.1, l'opzione certificateOIDs documentata in sigstore.verify() viene accettata dall'API pubblica ma ignorata prima della verifica; di conseguenza, gli OID delle estensioni dei certificati richiesti non vengono mai controllati e le applicazioni che si affidano a certificateOIDs per limitare quali certificati possono firmare i manufatti potrebbero accettare certificati non autorizzati. Questo problema è stato risolto nella versione 4.1.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.