CVE-2026-48816

Nome do Software Vulnerável e Versões Afetadas sigstore-js versões anteriores a 3.1.1

Description A biblioteca @sigstore/verify deriva incorretamente um carimbo de data/hora do log de transparência a partir da variável tlogEntries[].integratedTime para entradas de apenas prova de inclusão (inclusionProof-only) do bundle v0.2. Como o caminho da prova de inclusão não vincula criptograficamente o integratedTime, um invasor que forneça um bundle não confiável pode manipular esse valor para influenciar a validade do certificado e as decisões de verificação do timestampThreshold. Isso cria uma lacuna de confiança onde um carimbo de data/hora não autenticado é tratado como um carimbo de data/hora de observador confiável.

Recommendations Atualizar para a versão 3.1.1.