Veille sécuritéBackend & données
P4Non déterminée
Une mise à jour de sécurité de l’action pypi-publish traite la révocation d’une autorité de certification emSign présente dans le magasin de confiance fourni par certifi et utilisé notamment par Sigstore. La source indique une version corrigée 1.14.3; mettre à jour l’action vers cette version ou une version ultérieure.
Python
IdentifiantAvis de sécurité
GravitéNon déterminée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : GHSA-5xjx-3w67-w9x9 — pypi-publish
Analyse technique
L’avis relie l’action à certifi et à l’usage de Sigstore pour Trusted Publishing et les attestations PyPI; il signale le retrait du certificat emSign du magasin de confiance.
Impact, versions et correctif
Événement datéL’avis GHSA a été publié le 2026-10-30; cet événement de sécurité est daté dans la période demandée.
ImpactRisque lié à la confiance dans les certificats employés par le processus de publication et d’attestation.
Versions affectéespypa/gh-action-pypi-publish <= 1.14.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-30T20:24:24Z
Mise à jour2026-10-30T20:24:25Z
Action recommandée
Passer à pypa/gh-action-pypi-publish 1.14.3 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).