PT-2026-53015
CVE-2026-48758
·
تاريخ النشر
2026-06-26
·
تاريخ التحديث
2026-10-20
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات sigstore-js الأقدم من 3.2.1
الوصف
تستخدم الدالة
preAuthEncoding() في @sigstore/core ترميز ascii الخاص بـ Node.js عند تحويل سلسلة ترميز ما قبل المصادقة (PAE) إلى بايتات. ونظرًا لأن ترميز ascii في Node.js يقتطع الأحرف التي تزيد عن U+00FF إلى البايت الأدنى منها، يمكن للمهاجم استبدال الأحرف في متغير payloadType بمتغيرات Unicode تنتج بايتات مرمزة متطابقة. وهذا يسمح بتغيير payloadType بعد التوقيع دون إبطال التوقيع، مما يخل بضمان ربط النوع الذي يوفره Dead Simple Signing Envelope (DSSE)، وهو معيار لتوقيع البيانات العشوائية.التوصيات
تحديث sigstore-js إلى الإصدار 3.2.1.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾