PT-2026-66873 · Unknown · Sigstore-Go

CVE-2026-54787 · Publicado 2026-07-31 · Atualizado 2026-07-31

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.1

Baixa

Vetor base

AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas sigstore-go versões anteriores a 1.2.1

Description A biblioteca falha ao verificar o carimbo de data/hora de assinatura do pacote em relação à janela de validade de um ExpiringKey ao usar uma chave de assinatura de longa duração autogerenciada sem um certificado. Isso permite que um invasor que possua material de chave expirado assine pacotes que são aceitos incorretamente pelo validador. Este problema afeta especificamente o fluxo de trabalho de chaves de assinatura de longa duração e não impacta implantações padrão que utilizam uma autoridade certificadora.

Recommendations Atualize para a versão 1.2.1.

Exploit

Correção

Enumeração de Fraquezas

CWE-324

Identificadores relacionados

CVE-2026-54787

GHSA-WQQC-JJCQ-VFXM

Produtos afetados

Sigstore-Go

Referências · 7

• 🔥 https://github.com/sigstore/sigstore-go/security/advisories/GHSA-wqqc-jjcq-vfxm · Exploit
• https://github.com/sigstore/sigstore-go/commit/4594ab4c779d08be1f4419803a8249188f35ed5f · Nota
• https://github.com/sigstore/sigstore-go/pull/642 · Nota
• https://github.com/sigstore/sigstore-go · Nota
• https://github.com/sigstore/sigstore-go/releases/tag/v1.2.1 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-54787 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-wqqc-jjcq-vfxm · Aviso do Fabricante