PT-2026-55205
CVE-2026-48816
·
تاريخ النشر
2026-07-01
·
تاريخ التحديث
2026-10-20
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات sigstore-js الأقدم من 3.1.1
الوصف
تستمد مكتبة
@sigstore/verify بشكل خاطئ طابعًا زمنيًا لسجل الشفافية من المتغير tlogEntries[].integratedTime بالنسبة لمدخلات الحزمة v0.2 المخصصة لـ inclusionProof فقط. ونظرًا لأن مسار إثبات التضمين لا يربط integratedTime تشفيرياً، يمكن للمهاجم الذي يقدم حزمة غير موثوق بها التلاعب بهذه القيمة للتأثير على صلاحية الشهادة وقرارات التحقق من timestampThreshold. وهذا يؤدي إلى حدوث فجوة في الثقة حيث يتم التعامل مع الطابع الزمني غير المصادق عليه على أنه طابع زمني موثوق به للمراقب.التوصيات
التحديث إلى الإصدار 3.1.1.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾