sigstore CSRF possibility in OIDC authentication during signing
Summary
The sigstore-python OAuth authentication flow is susceptible to Cross-Site Request Forgery.
Details
_OAuthSession creates a unique "state" and sends it as a parameter in the authentication request but the "state" in the server response seems not not be cross-checked with this value.
Fix should be fairly trivial.
Impact
This should be low impact: A man-in-the middle attacker could trick a sigstore-python user into signing something with an identity controlled by the attacker (by returning the response to an authentication request they created). This would be quite confusing but not dangerous.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Python (PyPI) | sigstore | < 4.2.0 | 4.2.0 |
Referencias
- https://github.com/sigstore/sigstore-python/security/advisories/GHSA-hm8f-75xx-w2vr
- https://nvd.nist.gov/vuln/detail/CVE-2026-24408
- https://github.com/sigstore/sigstore-python/commit/5e77497fe8f0b202bdd118949074ec2f20da69aa
- https://github.com/sigstore/sigstore-python
- https://github.com/sigstore/sigstore-python/releases/tag/v4.2.0
- https://pypi.org/project/sigstore
- https://github.com/advisories/GHSA-hm8f-75xx-w2vr
- Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:N- Debilidad (CWE)
CWE-352- Plataforma
- Python (PyPI)
- Paquete
sigstore- Publicada
- 26.01.2026
- Actualizado
- 11.10.2026 13:18
Fuentes y licencias
OSV / GitHub Advisory Database - PYSEC-2026-1924 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-hm8f-75xx-w2vr - CC BY 4.0
Historial de vulnerabilidades: sigstore
Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 2
- Primera → última
- 12.2024 01.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Baja 2
Divulgaciones por año
- 2024: 1
- 2025: 0
- 2026: 1
-
sigstore CSRF possibility in OIDC authentication during signing esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.