CVE-2026-48815

Nome do Software Vulnerável e Versões Afetadas sigstore-js versões anteriores a 4.1.1

Description A opção certificateOIDs na função sigstore.verify() é aceita pela API pública, mas descartada antes que o processo de verificação ocorra. Consequentemente, os Identificadores de Objeto (OIDs) de extensão de certificado exigidos—identificadores numéricos usados para identificar exclusivamente objetos em uma árvore de diretórios—nunca são verificados. Isso permite que aplicativos que dependem de certificateOIDs para restringir quais certificados podem assinar artefatos aceitem inadvertidamente certificados não autorizados, desde que satisfaçam as demais verificações.

Recommendations Atualizar para a versão 4.1.1.