stigmem-node's unsigned plugin override could be enabled without a second explicit acknowledgment
Impact
A single configuration flag could disable plugin signature enforcement. If an operator unintentionally carried that setting into an environment where plugin paths are writable by less-trusted users, unsigned plugin code could be loaded.
Patches
Patched in 0.9.0a2. Disabling plugin signature enforcement now requires a second explicit acknowledgment value.
Workarounds
Before upgrading, keep plugin signing required in all shared or production environments and ensure plugin directories are not writable by untrusted users.
Upgrade
Upgrade to the patched release:
pip install --upgrade --pre stigmem-nodeIf developers install through the Stigmem meta-package instead, they should use the matching extra for deployments, for example:
pip install --upgrade --pre 'stigmem[node]'Resources
- Release: https://github.com/eidetic-labs/stigmem/releases/tag/v0.9.0a2
- Changelog: https://github.com/eidetic-labs/stigmem/blob/v0.9.0a2/CHANGELOG.md#L14-L35
- Security policy and posture: https://github.com/eidetic-labs/stigmem/blob/v0.9.0a2/SECURITY.md
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | stigmem-node | < 0.9.0a2 | 0.9.0a2 |
Odnośniki
- https://github.com/eidetic-labs/stigmem/security/advisories/GHSA-w7pm-9g55-mxfm
- https://github.com/eidetic-labs/stigmem
- https://github.com/eidetic-labs/stigmem/blob/v0.9.0a2/CHANGELOG.md#L14-L35
- https://github.com/eidetic-labs/stigmem/blob/v0.9.0a2/SECURITY.md
- https://github.com/eidetic-labs/stigmem/releases/tag/v0.9.0a2
- Wektor CVSS
CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N- Słabość (CWE)
CWE-494- Platforma
- Python (PyPI)
- Paczka
stigmem-node- Ujawniono
- 29.05.2026
- Aktualizacja
- 11.10.2026 14:19
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-w7pm-9g55-mxfm - CC BY 4.0
Historia podatności: stigmem-node
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 10
- Pierwsza → ostatnia
- 05.2026 08.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 3
- Wysoka 6
- Średnia 1
Ujawnienia w latach
- 2026: 10
-
stigmem-node's unsigned plugin override could be enabled without a second explicit acknowledgment ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.