PT-2026-58289 · Npm · Sigstore-Js

CVE-2026-59891 · Publicado 2026-07-14 · Atualizado 2026-07-14

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas sigstore-js versões anteriores a 0.7.1

Description A função getRegistryCredentials() lê credenciais do arquivo de configuração do Docker e seleciona uma entrada verificando se qualquer chave de autenticação configurada contém a string do registro de destino. Devido ao uso de uma correspondência de substring em vez de uma correspondência exata de host, credenciais destinadas a um registro podem ser incorretamente selecionadas e transmitidas para um registro diferente se o seu hostname possuir uma relação de substring com uma chave de autenticação configurada.

Recommendations Atualize para a versão 0.7.1.

Exploit

Correção

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-522

Identificadores relacionados

CVE-2026-59891

GHSA-PF56-329R-95RW

Produtos afetados

Sigstore-Js

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/59xxx/CVE-2026-59891.json · Exploit
• https://github.com/sigstore/sigstore-js/security/advisories/GHSA-pf56-329r-95rw · Nota
• https://github.com/sigstore/sigstore-js/commit/85c58380758b97ce1b74ef470e55cc21f9d3aa89 · Nota
• https://github.com/sigstore/sigstore-js/releases/tag/%40sigstore%2Foci%400.7.1 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-59891 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-59891 · Aviso do Fabricante