CVE-2026-48816
Təsvir
sigstore-js, Sigstore xidmətləri ilə qarşılıqlı əlaqə üçün JavaScript kitabxanaları təmin edir. 3.1.1 versiyasından əvvəl, @sigstore/verify paketi, daxiletmə sübutu yolu (inclusion proof path) integratedTime-ı kriptoqrafik olaraq bağlamasa belə, bundle v0.2 inclusionProof-only qeydləri üçün şəffaflıq loqunun vaxt möhürünü tlogEntries[].integratedTime-dan törədir. Bu, etibarsız bundle təqdim edə bilən hücumçuya sertifikatın etibarlılığına və timestampThreshold yoxlama qərarlarına təsir göstərməyə imkan verir. Bu problem 3.1.1 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- @sigstore/verify3.1.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| @sigstore/verifynpm | 3.1.0 ≤ v < 3.1.1 | 3.1.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.