Veille sécuritéFrontend
P3Élevée
Dans sigstore-js, un serveur de registre malveillant ou compromis peut fournir une URL d’envoi externe et recevoir des identifiants d’authentification du registre lors d’un téléversement d’artefact. Mettre à jour vers la version 0.7.2, qui limite l’envoi des identifiants à l’origine du registre.
JavaScript
IdentifiantCVE-2026-118763
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif0.7.2
Source : NVD — CVE-2026-118763
Analyse technique
Le client envoyait une requête PUT vers l’emplacement de téléversement fourni par le registre, sans vérifier son origine ni son schéma, tandis que les identifiants étaient conservés comme valeurs par défaut du client HTTP partagé.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-29 à 17:18:07.230Z, dans la période demandée. La mise à jour ultérieure de la fiche, datée du 2026-10-30, n’est pas retenue comme événement de la période.
ImpactLes identifiants du registre, notamment des jetons ou des identifiants Basic, peuvent être transmis à un hôte contrôlé par un tiers.
Versions affectéesAvant 0.7.2
Version corrigée0.7.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.4
Publication2026-10-29T17:18:07.230Z
Mise à jour2026-10-30T19:39:14.897Z
Action recommandée
Mettre à jour sigstore-js vers la version 0.7.2 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).