PT-2026-55204
CVE-2026-48815
·
تاريخ النشر
2026-07-01
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات sigstore-js الأقدم من 4.1.1
الوصف
يتم قبول الخيار
certificateOIDs في الدالة sigstore.verify() من قِبل واجهة برمجة التطبيقات العامة (API)، ولكن يتم تجاهله قبل بدء عملية التحقق. ونتيجة لذلك، لا يتم أبدًا التحقق من معرّفات الكائنات (OIDs) المطلوبة لملحقات الشهادات — وهي معرّفات رقمية تُستخدم لتعريف الكائنات بشكل فريد في شجرة الدليل. وهذا يسمح للتطبيقات التي تعتمد على certificateOIDs لتقييد الشهادات التي يمكنها توقيع العناصر، بقبول شهادات غير مصرح بها عن غير قصد، شريطة أن تستوفي فحوصات التحقق الأخرى.التوصيات
التحديث إلى الإصدار 4.1.1.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾