CVE-2026-123806

Nome do Software Vulnerável e Versões Afetadas python-tuf versões anteriores a 7.0.0

Description Na implementação ngclient, a função DelegatedRole. is target in pathpattern() em tuf/api/ payload.py utiliza fnmatch.fnmatch para verificar se um caminho de destino é autorizado por um padrão glob de delegação. No Windows, o fnmatch.fnmatch aplica os.path.normcase, que converte as strings para letras minúsculas, tornando a autorização de caminho insensível a maiúsculas e minúsculas. Este comportamento diverge da especificação TUF e difere do Linux e macOS. Se um repositório contiver delegações baseadas em caminho que diferem apenas por maiúsculas/minúsculas e uma função controlada por um invasor for processada antes da função legítima, um cliente Windows poderá aceitar um destino não autorizado fornecido pelo invasor para um caminho solicitado.

Recommendations Atualize o python-tuf para a versão 7.0.0 ou posterior.