CVE-2026-48758

Nome do Software Vulnerável e Versões Afetadas sigstore-js versões anteriores a 3.2.1

Description A função preAuthEncoding() em @sigstore/core utiliza a codificação ascii do Node.js ao converter a string de Pre-Authentication Encoding (PAE) em bytes. Como a codificação ascii no Node.js trunca caracteres acima de U+00FF para o seu byte baixo, um invasor pode substituir caracteres na variável payloadType por variantes Unicode que produzam bytes codificados idênticos. Isso permite que o payloadType seja alterado após a assinatura sem invalidá-la, quebrando a garantia de vinculação de tipo fornecida pelo Dead Simple Signing Envelope (DSSE), um padrão para assinatura de dados arbitrários.

Recommendations Atualize o sigstore-js para a versão 3.2.1.